CVE-2024-36105
Açıklama
dbt, veri analistlerinin ve mühendislerinin verilerini, yazılım mühendislerinin uygulama geliştirmek için kullandığı uygulamaların aynısını kullanarak dönüştürmelerine olanak tanır. 1.6.15, 1.7.15 ve 1.8.1 versiyonlarından önce, `INADDR_ANY (0.0.0.0)` veya `IN6ADDR_ANY (::)` adresine bağlanmak, bir uygulamayı tüm ağ arayüzlerinde erişime açarak yetkisiz erişim riskini artırmaktadır. Python belgelerinde belirtildiği üzere, ana bilgisayar adresi yerine özel bir adres formu kabul edilir: `''`, `"0.0.0.0"` ile eşdeğer olan `INADDR_ANY`'yi temsil eder. IPv6 yüklü sistemlerde `''`, `"::"` ile eşdeğer olan `IN6ADDR_ANY`'yi temsil eder. Güvenli olmayan halka açık bir ağda doküman sunan bir kullanıcı, farkında olmadan aynı ağdaki herhangi bir uzak kullanıcının/sistemin erişebileceği güvenli olmayan (http) bir web sitesi barındırıyor olabilir. Bu sorun; `dbt docs serve` komutunda varsayılan olarak açıkça localhost'a bağlanılarak dbt-core v1.6.15, dbt-core v1.7.15 ve dbt-core v1.8.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- dbt-core1.6.15, 1.7.15, 1.8.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dbt-corePyPI | v < 1.6.15, 1.7.0 ≤ v < 1.7.15, 1.8.0 ≤ v < 1.8.1 | 1.6.15, 1.7.15, 1.8.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.