CVE-2022-31044
Açıklama
Rundeck; bir web konsolu, komut satırı araçları ve bir WebAPI'ye sahip açık kaynaklı bir otomasyon servisidir. Anahtar Depolama (Key Storage) dönüştürücü eklenti mekanizması Rundeck 4.2.0 ve 4.2.1 sürümlerinde doğru şekilde etkinleştirilmemiştir, bu durum Anahtar Depolama için şifreleme katmanının muhtemelen çalışmamasına neden olmuştur. Rundeck 4.2.0 veya 4.2.1 kullanılarak oluşturulan veya üzerine yazılan tüm kimlik bilgileri, arka uç depolama alanına düz metin olarak yazılabilir. Bu durum, herhangi bir `Storage Converter` eklentisini kullananları etkilemektedir. Rundeck 4.3.1 ve 4.2.2 sürümleri kodu düzeltmiş olup yükseltme yapıldığında tüm düz metin değerlerini yeniden şifreleyecektir. Sürüm 4.3.0'da bu güvenlik açlığı bulunmamaktadır ancak 4.2.0 veya 4.2.1 kullanılmışsa düz metin değerlerini yeniden şifrelemek için gerekli yamayı içermemektedir. Kimlik bilgilerinin Rundeck 4.2.0/4.2.1 üzerinde düz metin olarak saklanmasını önlemek için anahtar depolamaya yazma erişimi ACL'ler aracılığıyla devre dışı bırakılabilir. 4.3.1 veya daha yeni bir sürüme yükselttikten sonra yazma erişimi tekrar etkinleştirilebilir.
Nasıl düzeltilir
- org.rundeck:rundeck4.2.2, 4.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pagerduty rundeck | 4.2.0, 4.2.1 | — |
| org.rundeck:rundeckMaven | 4.2.0 ≤ v < 4.2.2, 4.3.0 ≤ v < 4.3.1 | 4.2.2, 4.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.