CVE-2022-23643
Açıklama
Sourcegraph bir kod arama ve gezinme motorudur. Sourcegraph 3.35 ve 3.36 sürümleri, özel kaynak koddaki dizelerin kimliği doğrulanmış ancak yetkisiz bir aktör tarafından tahmin edilebildiği, Code Monitoring özelliğindeki daha önce düzeltilmiş bir yan kanal zafiyetini yeniden ortaya çıkarmıştır. Bu sorun yalnızca Code Monitoring özelliğini etkilemektedir; buna karşın CVE-2021-43823 kayıtlı aramaları da etkiliyordu. Başarılı bir saldırı, belirli bir dizenin mevcut olduğuna dair onay almak için kimliği doğrulanmış kötü niyetli bir aktörün çok sayıda Code Monitor oluşturmasını gerektirir. Bu durum, bir saldırganın kaynak koddaki API anahtarları gibi biçimlendirilmiş belirteçleri tahmin etmesine olanak tanıyabilir. Bu sorun Sourcegraph'ın 3.35.2 ve 3.36.3 sürümlerinde yamalanmıştır. Yükseltme yapamayanlar, kurulumlarında Code Monitor özelliğini devre dışı bırakabilirler.
Nasıl düzeltilir
- sourcegraph sourcegraph3.35.2, 3.36.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sourcegraph sourcegraph | 3.35.0 ≤ v < 3.35.2, 3.36.0 ≤ v < 3.36.3 | 3.35.2, 3.36.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.