CVE-2023-32315
Açıklama
Openfire, Open Source Apache License altında lisanslanmış bir XMPP sunucusudur. Web tabanlı bir uygulama olan Openfire yönetim konsolunun, kurulum ortamı üzerinden bir path traversal saldırısına karşı savunmasız olduğu tespit edilmiştir. Bu durum, kimliği doğrulanmamış bir kullanıcının, halihazırda yapılandırılmış bir Openfire ortamındaki kimlik doğrulaması gerektirmeyen Openfire Kurulum Ortamını kullanarak, Openfire Yönetim Konsolu'nda yalnızca yönetici kullanıcılar için ayrılmış kısıtlı sayfalara erişmesine izin vermektedir. Bu güvenlik açığı, 3.10.0 sürümü dahil olmak üzere Nisan 2015'ten beri yayınlanan tüm Openfire sürümlerini etkilemektedir. Sorun, Openfire 4.7.5 ve 4.6.8 sürümlerinde giderilmiştir ve henüz yayınlanmamış olan 4.8 dalındaki ilk sürüme (versiyon 4.8.0 olması beklenmektedir) daha fazla iyileştirme eklenecektir. Kullanıcıların yükseltme yapmaları önerilir. Belirli bir sürüm için Openfire yükseltmesi mevcut değilse veya hızlıca uygulanamıyorsa, kullanıcılar hafifletme tavsiyeleri için bağlantılı GitHub danışmanlığına (GHSA-gw42-f939-fhvm) bakabilirler.
Nasıl düzeltilir
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 14 Eyl 2023- igniterealtime openfire4.6.8, 4.7.5 ya da sonraki bir sürüm
- org.igniterealtime.openfire:xmppserver4.6.8, 4.7.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| igniterealtime openfire | 3.10.0 ≤ v < 4.6.8, 4.7.0 ≤ v < 4.7.5 | 4.6.8, 4.7.5 |
| org.igniterealtime.openfire:xmppserverMaven | 3.10.0 ≤ v < 4.6.8, 4.7.0 ≤ v < 4.7.5 | 4.6.8, 4.7.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.