CVE-2024-35182
Açıklama
Meshery, Kubernetes tabanlı altyapıların ve uygulamaların tasarlanmasını ve yönetilmesini sağlayan açık kaynaklı, bulut yerli bir yöneticidir. Versiyon 0.7.22 öncesindeki Meshery'de bulunan bir SQL injection zafiyeti; SQL injection stacked queries yükü ve ATTACH DATABASE komutu kullanılarak rastgele dosya yazılmasına yol açabilir. Ek olarak saldırganlar, performans profilleri (oturum çerezleri içerebilir), Meshery uygulama verileri veya sisteme eklenen herhangi bir Kubernetes yapılandırması gibi veri tabanında saklanan tüm verilere erişebilir ve bunları değiştirebilir. Meshery projesi, `/api/v2/events` API URL adresinde `GetAllEvents` fonksiyonunu sunmaktadır. `events_streamer.go` dosyasında okunan sort sorgu parametresi, `events_persister.go` dosyasında doğrudan bir SQL sorgusu oluşturmak için kullanılmaktadır. Versiyon 0.7.22, `SanitizeOrderInput` fonksiyonunu kullanarak bu sorunu gidermektedir.
Nasıl düzeltilir
- layer5 meshery0.7.22 ya da sonraki bir sürüm
- github.com/layer5io/meshery0.7.22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| layer5 meshery | v < 0.7.22 | 0.7.22 |
| github.com/layer5io/mesheryGo | v < 0.7.22, Aralık belirtilmemiş | 0.7.22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.