CVE-2024-27918

Coder, organizasyonların Terraform aracılığıyla uzak geliştirme ortamları oluşturmasına olanak tanır. 2.6.1, 2.7.3 ve 2.8.4 sürümlerinden önce, Coder'ın OIDC kimlik doğrulamasındaki bir güvenlik açığı, bir saldırganın `CODER_OIDC_EMAIL_DOMAIN` doğrulamasını atlamasına ve izin verilenler listesinde olmayan bir e-posta ile hesap oluşturmasına neden olabilir. Dağıtımlar, yalnızca OIDC sağlayıcısının kullanıcıların sağlayıcı üzerinde hesap oluşturmasına izin vermesi durumunda etkilenir. OIDC kaydı sırasında, kullanıcının e-postası izin verilen `CODER_OIDC_EMAIL_DOMAIN` değerlerine karşı uygun şekilde doğrulanmamıştır. Bu durum, izin verilen bir alan adıyla yalnızca kısmen eşleşen bir alan adına sahip olan bir kullanıcının başarıyla giriş yapmasına veya kayıt olmasına izin verebilir. Bir saldırgan, bu güvenlik açığından yararlanan bir alan adı kaydedebilir ve genel bir OIDC sağlayıcısı kullanarak bir Coder örneğine kayıt olabilir. OIDC etkinleştirilmiş ve `CODER_OIDC_EMAIL_DOMAIN` yapılandırmasıyla korunan Coder örnekleri etkilenmektedir. Özel bir OIDC sağlayıcısı kullanan Coder örnekleri etkilenmez, çünkü rastgele kullanıcılar öncelikle sağlayıcıda bir hesaba sahip olmadan özel bir OIDC sağlayıcısı üzerinden kayıt olamazlar. Genel OIDC sağlayıcıları etkilenmektedir. GitHub kimlik doğrulaması ve harici kimlik doğrulaması etkilenmemektedir. Bu güvenlik açığı 2.8.4, 2.7.3 ve 2.6.1 sürümlerinde giderilmiştir; bu yamalardan önceki tüm sürümler söz konusu güvenlik açığından etkilenmektedir. `CODER_OIDC_EMAIL_DOMAIN` ayarı ile OIDC kimlik doğrulamasını kullanan müşterilerin dağıtımlarını mümkün olan en kısa sürede yükseltmeleri önerilir.