CVE-2023-46740
Açıklama
CubeFS, açık kaynaklı bulut yerli bir dosya depolama sistemidir. Versiyon 3.3.1 öncesinde CubeFS, bir CubeFS dağıtımında kullanıcıları kimlik doğrulamak için kullanılan kullanıcıya özel hassas anahtarlar oluşturmak amacıyla güvensiz bir rastgele dize oluşturucu kullanıyordu. Bu durum, bir saldırganın oluşturulan dizeyi tahmin etmesine ve/veya kestirmesine ve böylece bir kullanıcıyı taklit ederek daha yüksek yetkiler elde etmesine olanak tanıyabilirdi. CubeFS yeni kullanıcılar oluşturduğunda, kullanıcı için "accessKey" adı verilen hassas bir bilgi parçası oluşturur. "accessKey" oluşturmak için CubeFS, tahmin edilmesini kolaylaştıran ve dolayısıyla oluşturulan kullanıcının taklit edilmesine yol açan güvensiz bir dize oluşturucu kullanır. Bir saldırgan, öngörülebilir rastgele dize oluşturucudan yararlanarak bir kullanıcının erişim anahtarını tahmin edebilir ve daha yüksek yetkiler elde etmek için kullanıcıyı taklit edebilir. Sorun v3.3.1 sürümünde düzeltilmiştir. Güncelleme yapmak dışında başka bir hafifletme yöntemi yoktur.
Nasıl düzeltilir
- linuxfoundation cubefs3.3.1 ya da sonraki bir sürüm
- github.com/cubefs/cubefs3.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation cubefs | v < 3.3.1 | 3.3.1 |
| github.com/cubefs/cubefsGo | v < 3.3.1, Aralık belirtilmemiş | 3.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.