CVE-2022-36089

Yüksek

Açıklama

KubeVela bir uygulama teslimat platformudur. KubeVela'nın VelaUX APIServer bileşenini kullanan kullanıcılar, bir kimlik doğrulama atlatma zafiyetinden etkilenebilir. 1.4.11 ve 1.5.4 versiyonlarından önceki KubeVela sürümlerinde, VelaUX APIServer kullanıcılar için JWT tokenları oluşturmak amacıyla imzalı anahtar olarak `PlatformID` değerini kullanmaktadır. `getSystemInfo` adlı başka bir API ise platformID bilgisini açığa çıkarmaktadır. Bu zafiyet, kullanıcıların kimlik doğrulamayı atlatmak için platformID'yi kullanarak JWT tokenlarını yeniden oluşturmalarına olanak tanır. 1.4.11 ve 1.5.4 versiyonları bu sorun için bir yama içermektedir.

ÖnemYüksek

CVSS8.2

İstismar olasılığı—

ÜrünKubevela

Yayın7 Eyl 2022

İlk görülme7 Eyl 2022

Zayıflık türüCWE-294CWE-294

Nasıl düzeltilir

Güncelleyin

kubevela kubevela1.4.11, 1.5.3 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
kubevela kubevela	1.4.0 ≤ v < 1.4.11, 1.5.0 ≤ v < 1.5.3	1.4.11, 1.5.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.