CVE-2024-28237
Açıklama
OctoPrint, tüketici tipi 3D yazıcıları kontrol etmek için bir web arayüzü sağlar. 1.9.3 sürümü dahil ve öncesindeki OctoPrint sürümleri, kötü niyetli yöneticilerin; yönetici haklarına sahip bir kurbanı, web arayüzünde bulunan "Test" butonu aracılığıyla test edildiğinde anlık görüntü resmini oluşturmaya çalışırken kurbanın tarayıcısında JavaScript kodu çalıştıracak bir webcam snapshot URL'si yapılandırması için ikna etmesine veya bunu yapılandırmasına olanak tanıyan bir güvenlik açığı içermektedir. Yönetici haklarına sahip bir kurbanı böylece hazırlanmış bir URL ile anlık görüntü testi yapmaya başarıyla ikna eden bir saldırgan, bunu hassas yapılandırma ayarlarını almak veya değiştirmek, baskıları durdurmak veya aksi takdirde OctoPrint örneğiyle kötü niyetli bir şekilde etkileşime girmek için kullanabilir. Güvenlik açığı 1.10.0rc3 sürümünde giderilmiştir. OctoPrint yöneticilerinin, kurulumlarına kimlerin yönetici erişimi olduğunu ve yabancıların talimatlarına dayanarak hangi ayarları değiştirdiklerini dikkatle incelemeleri şiddetle tavsiye edilir.
Nasıl düzeltilir
- octoprint octoprint1.10.0 ya da sonraki bir sürüm
- octoprint1.10.0rc3, 1.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| octoprint octoprint | v < 1.10.0, 1.10.0 | 1.10.0 |
| octoprintPyPI | v < 1.10.0rc3, v < 1.10.0 | 1.10.0rc3, 1.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.