CVE-2024-35196

Sentry, geliştirici odaklı bir hata izleme ve performans izleme platformudur. Sentry'nin Slack entegrasyonu, gelen istek gövdesini günlüklere hatalı şekilde kaydetmektedir. Bu istek verileri, kullanımdan kaldırılmış olan Slack doğrulama belirteci de dahil olmak üzere hassas bilgiler içerebilir. Belirli yapılandırmalar altında bu doğrulama belirteci ile bir saldırganın sahte istekler oluşturması ve Slack entegrasyonu gibi hareket etmesi mümkündür. İstek gövdesi, `event == "slack.*" && name == "sentry.integrations.slack" && request_data == *` ifadesiyle eşleşen günlük girişlerinde sızdırılmaktadır. Kullanımdan kaldırılan Slack doğrulama belirteci, `request_data.token` anahtarında bulunacaktır. **SaaS kullanıcılarının** herhangi bir işlem yapmasına gerek yoktur. **Kendi sunucusunda barındıran (self-hosted) kullanıcılar**, sürüm 24.5.0 veya daha yüksek bir sürüme yükseltmeli, Slack doğrulama belirteçlerini yenilemeli ve doğrulama belirteci yerine Slack Signing Secret kullanmalıdır. Kendi sunucu yapılandırmalarında yalnızca `slack.signing-secret` kullanan kullanıcılar için eski doğrulama belirteci, webhook yükünü doğrulamak için kullanılmaz ve yoksayılır. Yükseltme yapamayan kullanıcılar, `slack.verification-token` yerine `slack.signing-secret` ayarını yapmalıdır. İmzalama sırrı (signing secret), Slack'in webhook'ları kimlik doğrulamak için önerdiği yöntemdir. `slack.singing-secret` ayarlandığında, Sentry self-hosted, `slack.verification-token` ayarlanmış olsun ya da olmasın, webhook'ların kimlik doğrulaması için artık doğrulama belirtecini kullanmayacaktır. Alternatif olarak, eğer self-hosted örneği yükseltilemiyorsa veya `slack.signing-secret` kullanacak şekilde yeniden yapılandırılamıyorsa, günlükleme yapılandırması entegrasyondan günlük üretmeyecek şekilde ayarlanabilir. Varsayılan günlükleme yapılandırması `src/sentry/conf/server.py` dosyasında bulunabilir. **Yapılandırma değişikliği kaydedildikten sonra servisler yeniden başlatılmalıdır.**