CVE-2024-47762
Açıklama
Backstage, geliştirici portalları oluşturmak için açık bir çerçevedir. Örneğin APP_CONFIG_backend_listen_port=7007 gibi APP_CONFIG_* ortam değişkenleri aracılığıyla sağlanan yapılandırmalar, yapılandırma şemasında tanımlanan görünürlüğü beklenmedik şekilde yoksaymaktadır. Bu durum, yapılandırma şeması bunların backend veya secret görünürlüğüne sahip olması gerektiğini belirtse bile meydana gelmiştir. Bu, APP_CONFIG_* yapılandırma sağlama yönteminin amaçlanmış bir özelliğiydi ancak şu anda yapılandırma sisteminin beklenen davranışına açıkça aykırıdır. Bu davranış, gizli kalması veya yalnızca backend süreçleriyle sınırlandırılması amaçlanan hassas yapılandırma ayrıntılarının potansiyel olarak açığa çıkması riskine yol açmaktadır. Sorun, @backstage/plugin-app-backend paketinin 0.3.75 sürümünde çözülmüştür. Geçici bir önlem olarak, sırların (secrets) APP_CONFIG_ yapılandırma deseni kullanılarak sağlanmasından kaçının. Sırları ayarlamak için Backstage yapılandırmasında mevcut olan ortam değişimi (environment substitution) gibi alternatif yöntemleri değerlendirin.
Nasıl düzeltilir
- @backstage/plugin-app-backend0.3.75 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @backstage/plugin-app-backendnpm | v < 0.3.75 | 0.3.75 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.