CVE-2024-41801

OpenProject açık kaynaklı bir proje yönetim yazılımıdır. Versiyon 14.3.0 öncesinde, paketlenmiş kurulumların varsayılan yapılandırmasında ve "Login required" ayarı kullanılırken, sahte bir HOST başlığı kullanan bir saldırgan, bir OpenProject kullanıcı hesabına yönelik kimlik avı saldırısı başlatmak için uzak bir ana bilgisayara yönlendirme yapabilirdi. Bu güvenlik açığı; Apache üzerindeki herhangi bir ek yapılandırma veya modül (mod_security, manuel olarak bir ana bilgisayar adı belirleme, fallthrough VirtualHost gibi) bulunmayan varsayılan paketlenmiş OpenProject kurulumlarını etkilemektedir. Ayrıca, HOST/X-Forwarded-Host başlıklarını düzeltmeye özen göstermeyen diğer kurulumları da etkileyebilir. Versiyon 14.3.0, yapılandırılanla eşleşmeyen herhangi bir ana bilgisayar adına sahip istekleri reddetmek için Rails'in HostAuthorization ara katman yazılımını kullanarak uygulama içinden ana bilgisayar adı için daha güçlü korumalar içerir. Ayrıca, uygulama tarafından oluşturulan tüm bağlantıların artık yerleşik ana bilgisayar adını kullandığından emin olunmaktadır. Hemen yükseltme yapamayan kullanıcılar, Apache2 için mod_security kullanabilir veya OpenProject uygulama sunucusuna ulaşmadan önce proxy uygulamalarında Host ve X-Forwarded-Host başlıklarını manuel olarak düzeltebilirler. Alternatif olarak, önceki OpenProject versiyonlarında ana bilgisayar başlığı korumalarını etkinleştirmek için yamayı manuel olarak uygulayabilirler.