CVE-2021-42718

Tüm platformlarda Replicated Classic'in 2.53.1 öncesi sürümlerindeki API'de bulunan Bilgi İfşası, Admin Console erişimine sahip kimliği doğrulanmış kullanıcıların, 8800 portundaki Admin Console API üzerinden ortam değişkenlerini içeren konteyner tanımlarına erişerek uygulama sırları dahil hassas verileri elde etmesine olanak tanır. Bu CVE başlangıçta 2021 yılında rezerve edilmiş ve daha sonra 21 Ekim 2021 tarihinde Replicated tarafından web sitelerinde kamuoyuna açıklanmıştır. Ancak, CVE Numaralandırma Yetkilisi (CNA) nezdinde yanlışlıkla Rezerve Edilmiş Ancak Kamuoyuna Açık (Reserved But Public - RBP) durumunda kalmıştır. Bu ürünün 31 Aralık 2024 tarihinde ömrünü tamamladığını lütfen unutmayın. Sorunun dört yıl önce açıklanmış ve düzeltilmiş olması ve etkilenen ürünün 2024 itibarıyla artık desteklenmemesine rağmen, bu CVE'nin CNA ile yayınlanması CNA kurallarına uyum sağlamak için gerekliydi. Zafiyet Özeti: Bu bildirim, yukarıda listelenen Replicated Classic sürümlerinde ("Etkilenen Replicated Classic Sürümleri") düşük öncelikli bir güvenlik zafiyeti olduğunu açıklamaktadır. Açıklama: Replicated Classic'in 2.53.1 öncesi sürümleri, uygulama manifestlerinin nasıl yazıldığına bağlı olarak uygulama sırları dahil hassas verileri ifşa edebilecek, Replicated Admin Console kaynaklı kimliği doğrulanmış bir API'ye sahiptir. Geçerli kimlik bilgilerine ve Replicated Classic sunucusundaki Admin Console portuna (8800) erişimi olan bir kullanıcı, uygulamanın nasıl yapılandırıldığına bağlı olarak parolalar ve diğer sırlar içerebilen ortam değişkenleri dahil olmak üzere konteyner tanımlarını geri alabilir. Bu veriler yalnızca Admin Console'a yönelik kimliği doğrulanmış oturumlar üzerinden paylaşılmıştır ve uygulama işlemede hiçbir zaman görüntülenmemiş veya kullanılmamıştır. Bu sorunu gidermek için hassas veriler API'den kaldırılmış ve Admin Console'a yalnızca ihtiyaç duyulan veriler gönderilmiştir. Zaman Çizelgesi: Bu sorun 16 Eylül 2021 tarihindeki bir güvenlik incelemesi sırasında keşfedilmiştir. Yamalanmış sürümler 23 Eylül 2021 tarihinde yayınlanmıştır. Bu bildirim 21 Ekim 2021 tarihinde yayınlanmıştır. CVE Numaralandırma Yetkilisi (CNA), 23 Ocak 2025 tarihinde Replicated'e CVE'nin hala Rezerve Edilmiş Ancak Kamuoyuna Açık (RBP) durumunda olduğu bildirilmiştir. Durumun CNA nezdinde "yayınlandı" şeklinde güncellenmesindeki ihmal fark edildiğinde, Replicated güncellenmiş raporu aynı gün, 23 Ocak 2025 tarihinde sunmuştur.