CVE-2022-29248
Açıklama
Guzzle bir PHP HTTP istemcisidir. 6.5.6 ve 7.4.3 versiyonlarından önceki Guzzle sürümleri, çerez ara yazılımı (cookie middleware) ile ilgili bir güvenlik açığı içermektedir. Güvenlik açığı, çerez alan adının, Set-Cookie başlığı aracılığıyla çerezi ayarlayan sunucunun alan adına eşit olup olmadığının kontrol edilmemesinden kaynaklanmakta ve bu durum kötü niyetli bir sunucunun ilgisiz alan adları için çerezler ayarlamasına izin vermektedir. Çerez ara yazılımı varsayılan olarak devre dışıdır, bu nedenle çoğu kütüphane kullanıcısı bu sorundan etkilenmeyecektir. Yalnızca çerez ara yazılımını işlemci yığınına (handler stack) manuel olarak ekleyenler veya istemciyi ['cookies' => true] şeklinde yapılandıranlar etkilenmektedir. Ayrıca, birden fazla alan adını çağırmak için aynı Guzzle istemcisini kullanmayan ve yönlendirme iletme (redirect forwarding) özelliğini devre dışı bırakanlar bu güvenlik açığından etkilenmez. Guzzle 6.5.6 ve 7.4.3 versiyonları bu sorun için bir yama içermektedir. Geçici çözüm olarak çerez ara yazılımı kapatılmalıdır.
Nasıl düzeltilir
- guzzlephp guzzle6.5.6, 7.4.3 ya da sonraki bir sürüm
- drupal drupal9.2.20, 9.3.14 ya da sonraki bir sürüm
- drupal/core9.2.20, 9.3.14 ya da sonraki bir sürüm
- guzzlehttp/guzzle6.5.6, 7.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| guzzlephp guzzle | v < 6.5.6, 7.0.0 ≤ v < 7.4.3 | 6.5.6, 7.4.3 |
| drupal drupal | 9.2.0 ≤ v < 9.2.20, 9.3.0 ≤ v < 9.3.14 | 9.2.20, 9.3.14 |
| debian debian_linux | 11.0 | — |
| drupal/corePackagist | 8.0.0 ≤ v < 9.2.20, 9.3.0 ≤ v < 9.3.14 | 9.2.20, 9.3.14 |
| guzzlehttp/guzzlePackagist | v < 6.5.6, 7.0.0 ≤ v < 7.4.3 | 6.5.6, 7.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.