CVE-2024-32477
Açıklama
Deno; güvenli varsayılanlara sahip bir JavaScript, TypeScript ve WebAssembly çalışma zamanıdır. ANSI kaçış dizileri kullanılarak ve `libc::tcflush(0, libc::TCIFLUSH)` ile standart girdinin okunması arasında bir yarış durumu oluşturularak, izin isteminin manipüle edilmesi ve kullanıcı girdisinden bağımsız olarak güvensiz bir eyleme izin vermeye zorlanması mümkündür. Bazı ANSI kaçış dizileri, ana terminal emülatörüne bir bilgi isteği olarak işlev görür ve terminal emülatörü yanıtı PTY kanalı üzerinden geri gönderir. Standart akışlar da veri göndermek ve almak için bu kanalı kullanır. Örneğin, `\033[6n` dizisi mevcut imleç konumunu talep eder. Bu diziler, Deno'nun standart girdisine veri eklememize olanak tanır. Bu güvenlik açığı, bir saldırganın Deno izin politikasını atlatmasına izin verir. Bu sorun 1.42.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- deno deno1.42.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| deno deno | v < 1.42.2 | 1.42.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.