CVE-2021-41151
Açıklama
Backstage, geliştirici portalları oluşturmak için kullanılan açık bir platformdur. Etkilenen sürümlerde kötü niyetli bir aktör, Scaffolder Görevlerinin çalıştırıldığı ortamdaki hassas dosyaları okuyabilir. Saldırı, `github:publish:pull-request` eylemine ve belirli bir kaynak yoluna sahip özel bir Scaffolder şablonu hazırlanarak gerçekleştirilir. Şablon yürütüldüğünde, hassas dosyalar yayınlanan pull request'e dahil edilir. Bu güvenlik açığı, saldırganın Backstage kataloğunda şablonlar oluşturmak ve kaydetmek için erişime ihtiyaç duyması ve veri sızdırmanın bir pull request aracılığıyla gerçekleşmesi nedeniyle saldırının oldukça görünür olmasıyla hafifletilmektedir. Güvenlik açığı, `@backstage/plugin-scaffolder-backend` bileşeninin `0.15.9` sürümünde giderilmiştir.
Nasıl düzeltilir
- linuxfoundation backstage0.15.9 ya da sonraki bir sürüm
- @backstage/plugin-scaffolder-backend0.15.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation backstage | 0.9.4 ≤ v < 0.15.9 | 0.15.9 |
| @backstage/plugin-scaffolder-backendnpm | 0.9.4 ≤ v < 0.15.9 | 0.15.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.