CVE-2023-51451
Açıklama
Symbolicator, Sentry içerisinde kullanılan bir servistir. Symbolicator sürüm 0.3.3 ile başlayıp 21.12.1 sürümü öncesine kadar olan versiyonlarda, bir saldırgan geçersiz bir protokol kullanarak Symbolicator'ın dahili IP adreslerine sahip rastgele URL'lere GET HTTP istekleri göndermesini sağlayabilirdi. Bu isteklerin yanıtları Symbolicator API'si aracılığıyla açığa çıkabiliyordu. Etkilenen Sentry örneklerinde, eğer saldırganın kayıtlı bir hesabı varsa, veriler Sentry API ve kullanıcı arayüzü üzerinden ifşa edilebilirdi. Sorun; Symbolicator sürüm 23.12.1 ve Sentry self-hosted sürüm 23.12.1 ile düzeltilmiş olup, sentry.io üzerinde 18 Aralık 2023 tarihinde zaten hafifletilmiştir. Güncelleme yapılması mümkün değilse, bazı diğer hafifletme yöntemleri mevcuttur. `Organization Settings > Security & Privacy` altındaki `Allow JavaScript Source Fetching` seçeneği kapatılarak JS işleme devre dışı bırakılabilir ve/veya `Project Settings > Debug Files` altındaki tüm güvenilmeyen genel depolar devre dışı bırakılabilir. Alternatif olarak, JavaScript ve yerel sembolleştirme gerekmiyorsa, `config.yml` dosyasında Symbolicator tamamen devre dışı bırakılabilir.
Nasıl düzeltilir
- sentry symbolicator23.12.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sentry symbolicator | 0.3.3 ≤ v < 23.12.1 | 23.12.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.