CVE-2024-32001
Açıklama
SpiceDB, erişim kontrol verilerini depolamak ve değerlendirmek için özel olarak oluşturulmuş bir grafik veritabanıdır. `relation folder: folder | folder#parent` biçimindeki bir ilişkinin `folder->view` gibi bir ok ile kullanılması, LookupSubjects'ın yalnızca `folder` veya `folder#parent` altındaki özneleri döndürmesine neden olabilir. Bu hata yalnızca aynı özne türü bir ilişkide birden fazla kez kullanılırsa, her iki özne türü için de ilişkiler mevcutsa ve ilişki üzerinde bir ok kullanılırsa ortaya çıkar. v1.30.1 öncesi sürümlerde LookupSubjects isteğinin sonuçlarına dayanarak negatif yetkilendirme kararı veren tüm kullanıcılar etkilenmektedir. Sürüm 1.30.1, sorun için bir yama içermektedir. Geçici çözüm olarak, negatif yetkilendirme kararları için LookupSubjects kullanmaktan kaçının ve/veya hatalı şemayı kullanmaktan kaçının.
Nasıl düzeltilir
- authzed spicedb1.30.1 ya da sonraki bir sürüm
- github.com/authzed/spicedb1.30.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| authzed spicedb | v < 1.30.1 | 1.30.1 |
| github.com/authzed/spicedbGo | v < 1.30.1 | 1.30.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.