CVE-2023-30610
Açıklama
aws-sigv4, aws bulut platformunda düşük seviyeli istek imzalama için kullanılan bir rust kütüphanesidir. `aws_sigv4::SigningParams` yapısının türetilmiş bir `Debug` uygulaması bulunmaktaydı. Hata ayıklama formatına getirildiğinde; kullanıcının AWS erişim anahtarını, AWS gizli anahtarını ve güvenlik belirtecini düz metin olarak içeriyordu. Bir SDK için TRACE düzeyinde günlükleme etkinleştirildiğinde, `SigningParams` yazdırılmakta ve böylece bu kimlik bilgileri günlüklere erişimi olan herkese ifşa edilmekteydi. TRACE düzeyinde günlüklemeyi genel olarak (örneğin `RUST_LOG=trace`) veya özellikle `aws-sigv4` crate'i için etkinleştiren tüm AWS SDK for Rust kullanıcıları etkilenmektedir. Bu sorun yeni sürümlerle giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, AWS Rust SDK crate'leri için TRACE düzeyinde günlüklemeyi devre dışı bırakmalıdır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon aws-sigv4 | 0.2.0, 0.3.0, 0.4.1, 0.5.2, 0.6.0, 0.7.0, 0.8.0, 0.9.0, 0.10.1, 0.11.0, 0.12.0, 0.13.0, 0.14.0, 0.15.0, 0.46.0, 0.47.0, 0.48.0, 0.49.0, 0.50.0, 0.51.0, 0.52.0, 0.53.1, 0.54.1, 0.55.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.