CVE-2023-31135
Açıklama
Dgraph, açık kaynaklı bir dağıtık GraphQL veritabanıdır. Mevcut Dgraph denetim günlükleri, nonce çakışmaları nedeniyle kaba kuvvet saldırılarına karşı savunmasızdır. İlk 12 bayt, bir denetim günlüğü oluşturulduğunda başlatılan bir baseIv'den gelir. Son 4 bayt ise şifrelenen günlük satırının uzunluğundan gelir. Bu sorunludur çünkü iki günlük satırı sıklıkla aynı uzunluğa sahip olacaktır, dolayısıyla bu çakışmalar nedeniyle aynı nonce'u birçok kez yeniden kullanmış oluruz. Dgraph <v23.0.0 sürümleri tarafından oluşturulan tüm denetim günlükleri etkilenir. Saldırganların günlüklerin depolandığı sisteme erişimi olmalıdır. Dgraph kullanıcıları v23.0.0 sürümüne yükseltme yapmalıdır. Yükseltme yapamayan kullanıcılar mevcut denetim günlüklerini güvenli bir konumda depolamalı ve ek güvenlik için `gpg` gibi harici bir araç kullanarak şifrelemelidir.
Nasıl düzeltilir
- dgraph dgraph23.0.0 ya da sonraki bir sürüm
- github.com/dgraph-io/dgraph23.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dgraph dgraph | v < 23.0.0 | 23.0.0 |
| github.com/dgraph-io/dgraphGo | v < 23.0.0 | 23.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.