CVE-2022-31122
Açıklama
Wire, şifreli bir iletişim ve iş birliği platformudur. 2022-07-12/Chart 4.19.0 öncesindeki sürümler Token Recipient Confusion sorununa maruz kalmaktadır. Bir saldırgan, SAML IdP meta verilerinin belirli ayrıntılarına sahipse ve aynı arka uçta kendi SAML yapılandırmasını oluşturursa; hedeflenen bir ekibin tüm SAML kimlik doğrulamalı hesaplarını silebilir, saldırıya uğrayan ekibin bir kullanıcısı olarak kimlik doğrulaması yapabilir ve ekip SCIM tarafından yönetilmiyorsa ekip bağlamında rastgele hesaplar oluşturabilir. Bu sorun wire-server 2022-07-12 sürümünde düzeltilmiştir ve tüm Wire yönetimli hizmetlerde halihazırda yayına alınmıştır. Arka uçlarının artık etkilenmemesi için on-premise wire-server örneklerinin 2022-07-12/Chart 4.19.0 sürümüne güncellenmesi gerekmektedir. Geçici bir çözüm olarak, ekipler için SAML yapılandırması devre dışı bırakılarak (galley.config.settings.featureFlags.sso) saldırı riski azaltılabilir. Helm geçersiz kılmaları `values/wire-server/values.yaml` konumunda yer almaktadır. On-premise kurulumlar için ekipler bazında SAML SSO yapılandırma özelliğinin varsayılan olarak devre dışı olduğunu unutmayın.
Nasıl düzeltilir
- wire wire_server2022-07-12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wire wire_server | v < 2022-07-12 | 2022-07-12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.