CVE-2024-25623
Açıklama
Mastodon, ActivityPub tabanlı ücretsiz ve açık kaynaklı bir sosyal ağ sunucusudur. Versiyonlar 4.2.7, 4.1.15, 4.0.15 ve 3.5.19 öncesinde, uzak durumlar getirilirken Mastodon, uzak sunucudan gelen yanıtın `Content-Type` başlık değerinin Activity Streams medya türü olup olmadığını kontrol etmez; bu durum, eğer uzak sunucu rastgele kullanıcı yüklemelerini kabul ediyorsa, bir tehdit aktörünün uzak sunucuya özel olarak hazırlanmış bir Activity Streams belgesi yüklemesine ve bir Mastodon sunucusunun bunu getirmesini sağlamasına olanak tanır. Bu zafiyet, bir tehdit aktörünün aşağıdaki özelliklerin tamamını karşılayan uzak bir sunucudaki hesabı taklit etmesine izin verir: saldırganın hesap kaydetmesine izin vermesi; rastgele kullanıcı tarafından yüklenen belgeleri kabul etmesi ve bunları ActivityPub aktörleri ile aynı alan adına yerleştirmesi; ve `Accept` başlık değeri Activity Streams medya türü olan isteklere yanıt olarak kullanıcı tarafından yüklenen belgeyi sunması. Versiyonlar 4.2.7, 4.1.15, 4.0.15 ve 3.5.19 bu sorun için bir düzeltme içermektedir.
Nasıl düzeltilir
- joinmastodon mastodon3.5.19, 4.0.15, 4.1.15, 4.2.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joinmastodon mastodon | v < 3.5.19, 4.0.0 ≤ v < 4.0.15, 4.1.0 ≤ v < 4.1.15, 4.2.0 ≤ v < 4.2.7 | 3.5.19, 4.0.15, 4.1.15, 4.2.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.