CVE-2023-38505

DietPi-Dashboard, DietPi işletim sistemi için bir web panelidir. Panel, belirli bir anda yalnızca tek bir TLS el sıkışmasının işlemde olmasına izin verir. HTTPS modunda bir TCP bağlantısı kurulduğunda, sistemin bir el sıkışmasını beklemesi gerektiğini varsayar ve bir el sıkışması başlayana veya bir hata oluşana kadar süresiz olarak bu durumda kalır. Sürüm 0.6.1'de, el sıkışmasını basitçe başlatmayarak diğer tüm TLS el sıkışmalarının gerçekleşmesi engellenebilir ve bu durum istismar edilebilir. Bir saldırgan, paneli kendisinin sağlayacağı ancak sağlamayacağı bir TLS el sıkışmasını beklediği bir durumda kilitleyebilir. Bu durum, meşru trafiğin panele ulaşmasını engeller ve süresiz olarak devam edebilir. Sürüm 0.6.2, bu sorun için bir yamaya sahiptir. Geçici bir çözüm olarak, herkesin bağlanabileceği açık internet üzerinde HTTPS modu kullanmayın. Bunun yerine, panelin önüne bir reverse proxy yerleştirin ve HTTPS bağlantılarının bunun tarafından yönetilmesini sağlayın.