CVE-2024-21583
Açıklama
github.com/gitpod-io/gitpod/components/server/go/pkg/lib paketinin main-gha.27122 öncesindeki sürümleri; github.com/gitpod-io/gitpod/components/ws-proxy/pkg/proxy paketinin main-gha.27122 öncesindeki sürümleri; github.com/gitpod-io/gitpod/install/installer/pkg/components/auth paketinin main-gha.27122 öncesindeki sürümleri; github.com/gitpod-io/gitpod/install/installer/pkg/components/public-api-server paketinin main-gha.27122 öncesindeki sürümleri; github.com/gitpod-io/gitpod/install/installer/pkg/components/server paketinin main-gha.27122 öncesindeki sürümleri ve @gitpod/gitpod-protocol paketinin 0.1.5-main-gha.27122 öncesindeki sürümleri, _gitpod_io_jwt2_ oturum çerezinde __Host- ön ekinin eksik olması nedeniyle Cookie Tossing saldırısına karşı savunmasızdır. Bu durum, bir alt alanı kontrol eden bir saldırganın Gitpod kontrol düzlemindeki çerezin değerini ayarlamasına olanak tanır; bu değer saldırganın kendi JWT'si ile atanabilir, böylece kurban tarafından gerçekleştirilen belirli işlemler (yeni bir Github organizasyonu bağlamak gibi) saldırganın oturumu üzerinden yürütülür.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/gitpod-io/gitpodGo | v ≤ 0.8.0, Aralık belirtilmemiş | — |
| github.com/gitpod-io/gitpod/components/server/goGo | Aralık belirtilmemiş | — |
| github.com/gitpod-io/gitpod/components/ws-proxyGo | Aralık belirtilmemiş | — |
| github.com/gitpod-io/gitpod/install/installerGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.