CVE-2021-37705
Açıklama
OneFuzz, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir Fuzzing-As-A-Service platformudur. OneFuzz 2.12.0 veya daha yeni sürümlerde, eksik bir yetkilendirme kontrolü, herhangi bir Azure Active Directory kiracısından gelen kimliği doğrulanmış bir kullanıcının, savunmasız bir OneFuzz örneğine yetkili API çağrıları yapmasına olanak tanır. Savunmasız olması için, bir OneFuzz kurulumunun hem 2.12.0 veya üzeri sürümde olması hem de varsayılan olmayan `--multi_tenant_domain` seçeneği ile kurulmuş olması gerekir. Bu durum; yazılım zafiyeti ve çökme bilgileri, güvenlik testi araçları ile tescilli kodlar ve semboller gibi özel verilere okuma/yazma erişimiyle sonuçlanabilir. Yetkili API çağrıları aracılığıyla bu durum ayrıca mevcut verilerin değiştirilmesine ve Azure bilgi işlem kaynaklarında yetkisiz kod çalıştırılmasına imkan tanır. Bu sorun, taşıyıcı belirtecin (bearer token) `issuer` bilgisinin yönetici tarafından yapılandırılmış bir izin listesine karşı uygulama düzeyinde kontrolünün eklenmesiyle 2.31.0 sürümü itibarıyla çözülmüştür. Geçici bir çözüm olarak kullanıcılar, 2.31.0 sürümünden eski bir OneFuzz örneğinin kiracıya erişimini, `--multi_tenant_domain` seçeneğinin hariç tutulduğu varsayılan yapılandırmada yeniden dağıtım yaparak kısıtlayabilirler.
Nasıl düzeltilir
- microsoft onefuzz2.31.0 ya da sonraki bir sürüm
- onefuzz2.31.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft onefuzz | 2.12.0 ≤ v < 2.31.0 | 2.31.0 |
| onefuzzPyPI | 2.12.0 ≤ v < 2.31.0 | 2.31.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.