CVE-2024-32980
Açıklama
Spin, WebAssembly tarafından desteklenen sunucusuz uygulamalar oluşturmak ve çalıştırmak için kullanılan bir geliştirici aracıdır. 2.4.3 sürümünden önce, belirtilmiş bir URL yetkisi olmadan `self` istekleri kullanan bazı özel yapılandırılmış Spin uygulamaları, `Host` HTTP başlığı aracılığıyla rastgele ana bilgisayarlara istek yapmaya zorlanabilir. Bir uygulamanın savunmasız olması için aşağıdaki koşulların karşılanması gerekir: 1. Spin'in dağıtıldığı ortamın, istekleri `Host` başlığı yerine istek URL'sine göre Spin çalışma zamanına yönlendirmesi ve `Host` başlığını orijinal değerinde bırakması; 2. Gelen isteği işleyen Spin uygulama bileşeninin, `"self"` içeren bir `allow_outbound_hosts` listesiyle yapılandırılmış olması; ve 3. Bileşenin gelen bir isteğe yanıt olarak, URL'si ana bilgisayar adı/port içermeyen giden bir istek yapması. Bu sorunu düzeltmek için Spin 2.4.3 sürümü yayınlanmıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fermyon spin | < 2.4.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.