CVE-2021-41190
Açıklama
OCI Distribution Spec projesi, içeriğin dağıtımını kolaylaştırmak ve standartlaştırmak için bir API protokolü tanımlar. OCI Distribution Specification sürüm 1.0.0 ve öncesinde, push ve pull işlemleri sırasında belge türünü belirlemek için yalnızca Content-Type başlığı kullanılıyordu. Hem "manifests" hem de "layers" alanlarını içeren belgeler, eşlik eden bir Content-Type başlığı olmadığında manifest veya index olarak yorumlanabiliyordu. Aynı digest'in iki pull işlemi arasında bir Content-Type başlığı değişirse, bir istemci ortaya çıkan içeriği farklı şekilde yorumlayabilir. OCI Distribution Specification, bir manifest veya index içinde bulunan mediaType değerinin push ve pull işlemleri sırasında kullanılan Content-Type başlığıyla eşleşmesini zorunlu kılacak şekilde güncellenmiştir. Bir registry'den pull işlemi yapan istemciler, Content-Type başlığına güvenmeyebilir ve spec'in 1.0.1 sürümüne güncelleyememeleri durumunda hem "manifests" hem de "layers" alanlarını veya hem "manifests" hem de "config" alanlarını içeren belirsiz bir belgeyi reddedebilir.
Nasıl düzeltilir
- github.com/opencontainers/distribution-spec1.0.1 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/A2RRFNTMFYKOTRKD37F5ANMCIO3GGJML/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DX63GRWFEI5RVMYV6XLMCG4OHPWZML27/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SQBCYJUIM5GVCMFUPRWKRZNXMMI5EFA4/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/T4OJ764CKKCWCVONHD4YXTGR7HZ7LRUV/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3TUZNDAH2B26VPBK342UC3BHZNLBUXGX/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RZTO6N55WHKHIZI4IMLY2QFBPMVTAERM/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4334HT7AZPLWNYHW4ARU6JBUF3VZJPZN/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YIGVQWOA5XXCQXEOOKZX4CDAGLBDRPRX/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation open_container_initiative_distribution_specification | v ≤ 1.0.0 | — |
| linuxfoundation open_container_initiative_image_format_specification | v ≤ 1.0.1 | — |
| fedoraproject fedora | 34, 35 | — |
| github.com/opencontainers/distribution-specGo | v < 1.0.1 | 1.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.