CVE-2024-37897
Açıklama
SFTPGo; S3, Google Cloud Storage ve Azure Blob destekli, tam özellikli ve yüksek düzeyde yapılandırılabilir bir SFTP, HTTP/S, FTP/S ve WebDAV sunucusudur. SFTPGo WebAdmin ve WebClient şifre sıfırlamayı desteklemektedir. Bu özellik varsayılan yapılandırmada devre dışıdır. v2.6.1 öncesindeki SFTPGo sürümlerinde, bu özelliğin etkinleştirilmesi durumunda, erişim kısıtlamaları olan kullanıcılar (örneğin süresi dolmuş olanlar) dahi şifrelerini sıfırlayabilir ve giriş yapabilirler. Kullanıcıların sürüm 2.6.1'e yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, şifre sıfırlama özelliğini devre dışı tutmaya devam edebilir veya erişim kısıtlaması olan kullanıcılar ve yöneticiler için boş bir e-posta adresi belirleyerek, sıfırlama kodu içeren e-postayı almalarını ve zafiyeti istismar etmelerini engelleyebilirler.
Nasıl düzeltilir
- github.com/drakkan/sftpgo/v22.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/drakkan/sftpgo/v2Go | 2.2.0 ≤ v < 2.6.1 | 2.6.1 |
| github.com/drakkan/sftpgoGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.