CVE-2023-46738
Açıklama
CubeFS, açık kaynaklı bulut yerli bir dosya depolama sistemidir. CubeFS HandlerNode'un 3.3.1 öncesindeki sürümlerinde, kimliği doğrulanmış kullanıcıların ObjectNode'u çökertebilecek ve diğer kullanıcıların erişimini engelleyebilecek kötü niyetle oluşturulmuş istekler göndermesine izin verebilen bir güvenlik zafiyeti bulunmuştur. Kök neden, gelen HTTP isteklerinin uygun şekilde işlenmemesi sonucu bir saldırganın ObjectNode tarafından tahsis edilecek bellek miktarını kontrol edebilmesidir. Kötü niyetli bir istek, ObjectNode'un makinenin mevcut kapasitesinden daha fazla bellek tahsis etmesine neden olabilir ve saldırgan tek bir kötü niyetli istek yoluyla belleği tüketebilir. Bir saldırganın, savunmasız kodu kötü niyetli isteğiyle çağırabilmesi için kimliğinin doğrulanmış olması ve nesneleri silme yetkisine sahip olması gerekir. Ek olarak, saldırganın CubeFS dağıtımındaki mevcut bucket isimlerini bilmesi gerekir; aksi takdirde istek, savunmasız koda ulaşmadan reddedilecektir. Bu nedenle, en muhtemel saldırgan içerideki bir kullanıcı veya kümedeki mevcut bir kullanıcının hesabını ele geçirmiş bir saldırgandır. Sorun v3.3.1 sürümünde düzeltilmiştir. Güncelleme yapmak dışında başka bir hafifletme yöntemi yoktur.
Nasıl düzeltilir
- linuxfoundation cubefs3.3.1 ya da sonraki bir sürüm
- github.com/cubefs/cubefs3.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation cubefs | v < 3.3.1 | 3.3.1 |
| github.com/cubefs/cubefsGo | v < 3.3.1, Aralık belirtilmemiş | 3.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.