CVE-2023-28635
Açıklama
vantage6, gizliliği koruyan bir federatif öğrenme altyapısıdır. Versiyon 4.0.0 öncesinde kötü niyetli kullanıcılar, isimleri tam sayı olan kaynaklar oluşturarak görmeye yetkili olmadıkları kaynaklara erişmeye çalışabilirler. Bunun bir risk oluşturduğu örneklerden biri, kullanıcıların kendi düğümlerinde hangi kullanıcıların algoritma çalıştırmasına izin verildiğini tanımladıkları durumdur. Bu tanım, kullanıcı adı veya kullanıcı kimliği ile yapılabilmektedir. Örneğin, eğer 13 numaralı kullanıcı kimliğinin görev çalıştırmasına izin verilmişse ve bir saldırgan '13' kullanıcı adına sahip bir hesap oluşturursa, hatalı bir şekilde algoritma çalıştırmasına izin verilir. Kodun diğer bölümlerinde de kaynak ID'si veya adının bu şekilde karıştırılmasının sorunlara yol açtığı yerler olabilir. Versiyon 4.0.0 bu sorun için bir yama içermektedir. En iyi çözüm, kaynaklar oluşturulurken veya değiştirilirken kaynak adının her zaman bir karakterle başladığının kontrol edilmesidir.
Nasıl düzeltilir
- vantage6 vantage64.0.0 ya da sonraki bir sürüm
- vantage64.0.0 ya da sonraki bir sürüm
- vantage6-node4.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vantage6 vantage6 | v < 4.0.0 | 4.0.0 |
| vantage6PyPI | v < 4.0.0 | 4.0.0 |
| vantage6-nodePyPI | v < 4.0.0 | 4.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.