CVE-2023-37918
Açıklama
Dapr; bulut ve uç bilişim genelinde dağıtık uygulamalar oluşturmak için taşınabilir, olay güdümlü bir çalışma zamanıdır. Dapr'da, Dapr sidecar tarafından uygulamadan gelen çağrıları kimlik doğrulamak için kullanılan API token kimlik doğrulamasının, özel olarak hazırlanmış bir HTTP isteği ile atlatılmasına izin veren bir güvenlik açığı bulunmuştur. API token kimlik doğrulamasını kullanan kullanıcıların Dapr sürümünü 1.10.9 veya 1.11.2'ye yükseltmeleri önerilir. Bu güvenlik açığı, API token kimlik doğrulamasını yapılandırmış olan Dapr kullanıcılarını etkilemektedir. Bir saldırgan, istekteki `dapr-api-token` geçersiz olsa veya eksik olsa bile, Dapr sidecar tarafından HTTP üzerinden her zaman kabul edilen bir istek hazırlayabilir. Sorun Dapr 1.10.9 veya 1.11.2 sürümlerinde giderilmiştir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- linuxfoundation dapr1.10.9, 1.11.2 ya da sonraki bir sürüm
- github.com/dapr/dapr1.11.2, 1.10.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation dapr | v < 1.10.9, 1.11.0 ≤ v < 1.11.2 | 1.10.9, 1.11.2 |
| github.com/dapr/daprGo | 1.11.0 ≤ v < 1.11.2, v < 1.10.9 | 1.11.2, 1.10.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.