CVE-2023-31442

Yüksek

Açıklama

Lightbend Akka'nın 2.8.1 öncesindeki sürümlerinde, async-dns çözücü (DNS modundaki Discovery ve dolaylı olarak Cluster Bootstrap tarafından kullanılır), DNS kayıtlarını çözerken öngörülebilir DNS işlem kimlikleri kullanır; bu durum, DNS çözümlemesini bir saldırgan tarafından zehirlenmeye açık hale getirir. Keşif işlemini gerçekleştiren uygulama, keşfedilen hizmetin gerçekliğini (örneğin TLS aracılığıyla) doğrulamazsa, bu durum uygulama verilerinin sızdırılmasına neden olabilir (örneğin, kalıcılık olayları istenmeyen bir Kafka broker'ına yayınlanabilir). Eğer böyle bir doğrulama yapılırsa, zehirleme işlemi hedeflenen hizmete erişimin engellenmesiyle sonuçlanır. Bu durum Akka 2.5.14 ile 2.8.0 arasını ve Akka Discovery 2.8.0 sürümüne kadar olan versiyonları etkilemektedir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünLightbend Akka Actor

Yayın11 May 2023

İlk görülme11 May 2023

Nasıl düzeltilir

Güncelleyin

lightbend akka_actor2.8.1 ya da sonraki bir sürüm
lightbend akka_discovery2.8.1 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
lightbend akka_actor	2.5.14 ≤ v < 2.8.1	2.8.1
lightbend akka_discovery	v < 2.8.1	2.8.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.