CVE-2023-43656
Açıklama
matrix-hookshot; GitHub, GitLab, JIRA ve benzeri harici servislere bağlanmak için kullanılan bir Matrix botudur. Dönüştürme işlevlerini etkinleştirmiş olan örnekler (yapılandırmasında `generic.allowJsTransformationFunctions` bulunanlar), `vm2` sandbox'ından çıkış yapmanın mümkün olduğu bir saldırıya karşı savunmasız olabilir ve sonuç olarak Hookshot bu durumdan etkilenebilir. Bu sorun, yalnızca güvenilmeyen kullanıcıların kendi dönüştürme işlevlerini uygulamasına izin veren kullanıcıları etkileyecektir. Yalnızca sınırlı sayıda güvenilir kullanıcıya izin verdiyseniz, bu tehdit azalır (ancak tamamen ortadan kalkmaz). hookshot sürüm 4.5.0 ve üzeri, kullanıcıları daha iyi koruması gereken yeni bir sandbox kütüphanesi içermektedir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, yapılandırmadaki `generic.allowJsTransformationFunctions` seçeneğini devre dışı bırakmalıdır.
Nasıl düzeltilir
- matrix hookshot4.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| matrix hookshot | v < 4.5.0 | 4.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.