CVE-2024-39925
Açıklama
Vaultwarden (eski adıyla Bitwarden_RS) 1.30.3 sürümünde bir sorun tespit edilmiştir. Bir organizasyondan ayrılan üyeler için bir çıkış süreci bulunmamaktadır. Sonuç olarak, bir üye ayrıldığında paylaşılan organizasyon anahtarı döndürülmemektedir. Bu nedenle, erişimi kaldırılması gereken ayrılan üye, organizasyon anahtarının bir kopyasını elinde tutmaya devam eder. Ek olarak uygulama, sunucuda saklanan bazı şifreli verileri yeterince koruyamamaktadır. Bunun sonucunda, kimliği doğrulanmış bir kullanıcı, hedef organizasyonun üyesi olmasa bile herhangi bir organizasyonun şifreli verilerine yetkisiz erişim sağlayabilir. Ancak kullanıcının ilgili organizationId bilgisini bilmesi gerekir. Dolayısıyla, (bir organizasyona erişimi kaldırılmış olan) bir kullanıcı halihazırda organizasyon anahtarına sahipse, sızdırılan verileri çözmek için bu anahtarı kullanabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dani-garcia vaultwarden | 1.30.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.