CVE-2021-40831
Açıklama
Java, Python, C++ ve Node.js için AWS IoT Device SDK v2, macOS sistemlerde kullanıcı tarafından sağlanan Sertifika Yetkilisini (CA), kök CA'lerin üzerine yazmak yerine bunlara eklemektedir. Ayrıca, CA "üzerine yazıldığında" SNI doğrulaması da etkinleştirilmemektedir. Bu nedenle, karşı taraf ya kullanıcı tarafından sağlanan CA ile ya da sistemin varsayılan güven deposuyla doğrulanabiliyorsa TLS el sıkışmaları başarılı olacaktır. Bir ana bilgisayarın güven depolarına erişimi olan veya ana bilgisayarın güven deposunda halihazırda bulunan bir sertifika yetkilisini ele geçirebilen saldırganlar (not: bu durumda saldırgan aynı zamanda DNS sahteciliği de yapabilmelidir), bu sorunu CA sabitlemeyi (pinning) atlatmak için kullanabilirler. Saldırgan daha sonra MQTT broker'ını taklit ederek trafiği düşürebilir ve/veya kendi verileriyle yanıt verebilir; ancak MQTT broker'ına kimlik doğrulaması yapmak için hala kullanıcının özel anahtarlarına ihtiyaç duyacaklarından, bu verileri MQTT broker'ına iletemezler. Bu davranışı gidermek için aws-c-io alt modülündeki 'aws_tls_ctx_options_override_default_trust_store_*' fonksiyonu güncellenmiştir. Bu sorun şunları etkilemektedir: macOS üzerinde 1.5.0 öncesi Amazon Web Services AWS IoT Device SDK v2 for Java sürümleri. macOS üzerinde 1.7.0 öncesi Amazon Web Services AWS IoT Device SDK v2 for Python sürümleri. macOS üzerinde 1.14.0 öncesi Amazon Web Services AWS IoT Device SDK v2 for C++ sürümleri. macOS üzerinde 1.6.0 öncesi Amazon Web Services AWS IoT Device SDK v2 for Node.js sürümleri. macOS üzerinde Amazon Web Services AWS-C-IO 0.10.7.
Nasıl düzeltilir
- amazon amazon_web_services_internet_of_things_device_software_development_kit_v21.5.0, 1.6.0, 1.7.0, 1.14.0 ya da sonraki bir sürüm
- software.amazon.awssdk.iotdevicesdk:aws-iot-device-sdk1.5.0 ya da sonraki bir sürüm
- aws-iot-device-sdk-v21.6.0 ya da sonraki bir sürüm
- awsiotsdk1.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon amazon_web_services_aws-c-io | 0.10.7 | — |
| amazon amazon_web_services_internet_of_things_device_software_development_kit_v2 | v < 1.5.0, v < 1.6.0, v < 1.7.0, v < 1.14.0 | 1.5.0, 1.6.0, 1.7.0, 1.14.0 |
| software.amazon.awssdk.iotdevicesdk:aws-iot-device-sdkMaven | v < 1.5.0 | 1.5.0 |
| aws-iot-device-sdk-v2npm | v < 1.6.0 | 1.6.0 |
| awsiotsdkPyPI | v < 1.7.0 | 1.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.