CVE-2023-43645
Açıklama
OpenFGA, geliştiriciler için oluşturulmuş ve Google Zanzibar'dan esinlenmiş bir yetkilendirme/izin motorudur. OpenFGA, dairesel ilişki tanımları içeren yetkilendirme modellerine karşı belirli Check çağrıları yürütüldüğünde hizmet reddi saldırısına karşı savunmasızdır. Çağrı yapıldığında, sunucunun kaynakları tüketmesi ve çökmesi mümkündür. Kullanıcıların v1.3.2 sürümüne yükseltmeleri ve sorunlu modelleri güncellemeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur. Döngüler içeren veya değerlendirme yolunda ilişkinin kendisini bulunduran bir ilişki tanımına sahip modeller için, değerlendirme gerektiren kontroller ve sorgular artık v1.3.2+ sürümlerinde değerlendirilmeyecek ve bunun yerine hatalar döndürecektir. Döngüsel modellere sahip olmayan kullanıcılar etkilenmemektedir.
Nasıl düzeltilir
- openfga openfga1.3.2 ya da sonraki bir sürüm
- github.com/openfga/openfga1.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openfga openfga | v < 1.3.2 | 1.3.2 |
| github.com/openfga/openfgaGo | v < 1.3.2 | 1.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.