CVE-2024-40632
Açıklama
Linkerd, Kubernetes için açık kaynaklı, ultra hafif ve güvenlik öncelikli bir servis ağıdır (service mesh). Etkilenen sürümlerde, Linkerd tarafından çalıştırılan uygulama SSRF'ye karşı savunmasız olduğunda, bir saldırgan localhost:4191/shutdown adresine istekler göndererek potansiyel olarak bir hizmet reddi (DoS) saldırısını tetikleyebilir. Linkerd, başlık (header) olarak iletilmesi gereken bir belirteci (token) kontrol etmek için isteğe bağlı bir ortam değişkeni ekleyebilir. Linkerd, bu başlığı içermeyen kapatma (shutdown) isteklerini reddetmelidir. Bu sorun edge-24.6.2 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- github.com/linkerd/linkerd20.5.1-0.20240614165515-35fb2d6d11ef ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/linkerd/linkerd2Go | v < 0.5.1-0.20240614165515-35fb2d6d11ef | 0.5.1-0.20240614165515-35fb2d6d11ef |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.