CVE-2024-28101
Açıklama
Apollo Router, Apollo Federation kullanan federasyonel bir süpergrafı çalıştırmak için Rust ile yazılmış bir grafik yönlendiricidir. 0.9.5 ile 1.40.2 arasındaki sürümler Hizmet Reddi (DoS) tipi bir güvenlik açığına maruz kalmaktadır. Sıkıştırılmış HTTP yükleri alındığında, Router'ın etkilenen sürümleri `limits.http_max_request_bytes` yapılandırma seçeneğini, sıkıştırılmış yükün tamamı açıldıktan sonra değerlendirmektedir. Router'ın etkilenen sürümleri yüksek düzeyde sıkıştırılmış yükler aldığında, bu durum sıkıştırılmış yük genişletilirken önemli miktarda bellek tüketimine yol açabilir. Router sürüm 1.40.2, bu güvenlik açığı için bir düzeltme içermektedir. Yükseltme yapamayanlar, Router filolarının önünde konumlandırılan proxy veya yük dengeleyicilerde (örneğin Nginx, HAProxy veya bulut tabanlı WAF servisleri) HTTP gövde yükleme boyutu üzerinde sınırlar oluşturarak hafifletme önlemleri uygulayabilirler.
Nasıl düzeltilir
- apollographql apollo_router1.40.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apollographql apollo_router | 0.9.5 ≤ v < 1.40.2 | 1.40.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.