CVE-2024-35223
Açıklama
Dapr; bulut ve uç bilişim genelinde dağıtık uygulamalar oluşturmak için taşınabilir, olay güdümlü bir çalışma zamanıdır. Dapr, çağrılan uygulamanın uygulama belirteci yerine çağıran uygulamanın uygulama belirtecini gönderir. Bu durum, uzak servis çağırma işlemi için Dapr'ın bir gRPC proxy olarak kullanılması sırasında, çağıran uygulamanın uygulama belirtecinin çağrılan uygulamaya sızmasına neden olur. Bu güvenlik açığı, hem Dapr'ı uzak servis çağırma için gRPC proxy olarak kullanan Dapr kullanıcılarını hem de Dapr App API belirteç işlevselliğini etkilemektedir. Bir saldırgan, bu güvenlik açığını kullanarak çağıran uygulamanın uygulama belirtecine erişebilir ve potansiyel olarak güvenlik ile kimlik doğrulama mekanizmalarını tehlikeye atabilir. Bu güvenlik açığı versiyon 1.13.3 ile düzeltilmiştir.
Nasıl düzeltilir
- github.com/dapr/dapr1.13.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/dapr/daprGo | 1.13.0 ≤ v < 1.13.3 | 1.13.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.