CVE-2024-46989
Açıklama
spicedb, müşteri uygulamaları için ince taneli yetkilendirme sağlamak amacıyla geliştirilmiş, Google Zanzibar'dan esinlenmiş açık kaynaklı bir izinler veritabanıdır. Aynı ilişki üzerindeki aynı dolaylı konu türünde birden fazla caveat bulunması, izin beklendiği durumlarda hiçbir iznin döndürülmemesiyle sonuçlanabilir. Kaynağın birden fazla grubu varsa ve her grup caveat ile kısıtlanmışsa, izin beklendiğinde döndürülen iznin "izin yok" olması mümkündür. CheckPermission API üzerinde PERMISSION beklendiğinde, izin NO_PERMISSION olarak döndürülmektedir. Bu sorun 1.35.3 sürümünde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar caveat kullanmamalı veya birden fazla girişi olan bir dolaylı konu türünde caveat kullanımından kaçınmalıdır.
Nasıl düzeltilir
- authzed spicedb1.35.3 ya da sonraki bir sürüm
- github.com/authzed/spicedb1.35.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| authzed spicedb | v < 1.35.3 | 1.35.3 |
| github.com/authzed/spicedbGo | v < 1.35.3 | 1.35.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.