CVE-2022-31115
Açıklama
opensearch-ruby, elasticsearch-ruby'nin topluluk tarafından desteklenen açık kaynaklı bir çatallamasıdır (fork). 2.0.1 öncesindeki sürümlerde, `YAML.safe_load` yerine ruby `YAML.load` fonksiyonu kullanılmıştır. Sonuç olarak, yanıtın YAML tipinde olması durumunda, opensearch-ruby 2.0.0 ve önceki sürümler YAML.load kullanımı nedeniyle güvensiz serileştirmeye yol açabilir. Bir saldırganın bu zafiyeti istismar edebilmesi için bir opensearch sunucusunun kontrolüne sahip olması ve kurbanı buraya bağlanmaya ikna etmesi gerekir. Sorun, opensearch-ruby gem sürüm 2.0.1 ile düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu sorun için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- amazon opensearch2.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon opensearch | v < 2.0.2 | 2.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.