CVE-2024-1485
Yüksek
Açıklama
registry-support bileşeninin decompression fonksiyonunda bir hata bulundu. Bu sorun, kimliği doğrulanmamış uzak bir saldırganın, kullanıcıyı `parent` veya `plugin` anahtar kelimelerini kullanan bir devfile dosyasını ayrıştırmaya ikna etmesi durumunda tetiklenebilir. Bu durum, kötü amaçlı bir arşivin indirilmesine ve temizleme işleminin arşiv dışındaki dosyaların üzerine yazmasına veya bu dosyaları silmesine neden olabilir; bu durumun izin verilmemesi gerekir.
ÖnemYüksek
CVSS8.0
İstismar olasılığı—
Ürün
Devfile Registry-support
Yayın14 Şub 2024
İlk görülme14 Şub 2024
Zayıflık türüCWE-22Dizin geçişi (path traversal)
Nasıl düzeltilir
Güncelleyin
- devfile registry-support0.0.0-20240206 ya da sonraki bir sürüm
- github.com/devfile/registry-support/registry-library0.0.0-20240206 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| devfile registry-support | v < 0.0.0-20240206 | 0.0.0-20240206 |
| redhat openshift | 4.0 | — |
| redhat openshift_developer_tools_and_services | Aralık belirtilmemiş | — |
| github.com/devfile/registry-support/registry-libraryGo | v < 0.0.0-20240206, Aralık belirtilmemiş | 0.0.0-20240206 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.