CVE-2024-41656
Açıklama
Sentry bir hata izleme ve performans izleme platformudur. Versiyon 10.0.0 ile başlayıp versiyon 24.7.1 öncesine kadar olan sürümlerde, bir Integration platform entegrasyonu tarafından gönderilen temizlenmemiş bir yük (payload), Sentry tarafında rastgele HTML etiketlerinin saklanmasına ve ardından bunların Issues sayfasında işlenmesine olanak tanır. Kendi sunucusunda barındıran (self-hosted) Sentry kullanıcıları, güvenilmeyen Integration platform entegrasyonlarının kendi taraflarından Sentry'ye harici sorunlar göndermesi durumunda etkilenebilir. Sentry 24.7.1 sürümünde bir yama yayınlanmıştır. Sentry SaaS müşterileri için herhangi bir işlem yapılmasına gerek yoktur. Bu durum 23 Temmuz'da yamalanmış olup düzeltmeden önce bile sentry.io sitesinde uygulanan katı İçerik Güvenliği Politikası (Content Security Policy - CSP) nedeniyle istismar edilmesi mümkün değildi. Kendi sunucusunda barındıran kullanıcılar için Sentry yöneticileri, Sentry'nin en son sürüme yükseltilmesini şiddetle tavsiye eder. Eğer bu mümkün değilse, kişi kendi kurulumunda `CSP_REPORT_ONLY = False` (zorlama modu) ile CSP'yi etkinleştirebilir. Bu, siteler arası betik çalıştırma (XSS) riskini azaltacaktır.
Nasıl düzeltilir
- sentry sentry24.7.1 ya da sonraki bir sürüm
- sentry24.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sentry sentry | 10.0.0 ≤ v < 24.7.1 | 24.7.1 |
| sentryPyPI | 10.0.0 ≤ v < 24.7.1 | 24.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.