CVE-2022-31043
Açıklama
Guzzle açık kaynaklı bir PHP HTTP istemcisidir. Etkilenen sürümlerde isteklerdeki `Authorization` başlıkları hassas bilgiler içerir. `https` şeması kullanılarak yapılan bir isteğe, `http` şemasına sahip bir URI ile yönlendirme yanıtı veren bir sunucuya karşı, `Authorization` başlığı iletilmemelidir. Bu durum, ana bilgisayar (host) değiştiğinde başlığın iletilmemesiyle aynıdır. Bu düzeltmeden önce, `https` üzerinden `http`ye düşürme işlemleri `Authorization` başlığının kaldırılmasıyla sonuçlanmıyordu; yalnızca ana bilgisayar değişikliklerinde kaldırılıyordu. Etkilenen Guzzle 7 kullanıcıları mümkün olan en kısa sürede Guzzle 7.4.4 sürümüne yükseltmelidir. Guzzle'ın daha önceki serilerini kullanan etkilenen kullanıcılar Guzzle 6.5.7 veya 7.4.4 sürümüne yükseltmelidir. Yükseltme yapamayan kullanıcılar, kendi yönlendirme ara yazılımlarını (middleware) kullanmak gibi alternatif bir yaklaşımı değerlendirebilirler. Alternatif olarak kullanıcılar, yönlendirmelerin beklenmediği veya gerekmediği durumlarda yönlendirmeleri tamamen devre dışı bırakabilirler.
Nasıl düzeltilir
- guzzlephp guzzle6.5.7, 7.4.4 ya da sonraki bir sürüm
- drupal drupal9.2.21, 9.3.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| guzzlephp guzzle | v < 6.5.7, 7.0.0 ≤ v < 7.4.4 | 6.5.7, 7.4.4 |
| drupal drupal | 9.2.0 ≤ v < 9.2.21, 9.3.0 ≤ v < 9.3.16, 9.4.0 | 9.2.21, 9.3.16 |
| debian debian_linux | 11.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.