CVE-2024-52309
Açıklama
SFTPGo; S3, Google Cloud Storage ve Azure Blob destekli, tam özellikli ve yüksek düzeyde yapılandırılabilir bir SFTP, HTTP/S, FTP/S ve WebDAV sunucusudur. SFTPGo'nun güçlü özelliklerinden biri, EventManager'ın belirli olaylara yanıt olarak betikler yürütme veya uygulamalar çalıştırma yeteneğidir. Bu özellik, SFTPGo'ya benzer tüm yazılımlarda oldukça yaygındır ve genellikle kısıtlamasızdır. Ancak, betik çalıştırma iznine sahip herhangi bir SFTPGo yöneticisi, SFTPGo'yu çalıştıran kullanıcıyla aynı izinlere sahip olarak temel işletim sistemine/konteynere erişebilir. Sistem kabuğuna erişmek ile SFTPGo WebAdmin UI'ına erişmek arasında net bir ayrım olduğunu düşünen bazı SFTPGo yöneticileri için bu durum beklenmediktir. Bu karışıklığı önlemek amacıyla, 2.6.3 sürümünde sistem komutlarının çalıştırılması varsayılan olarak devre dışı bırakılmış ve SFTPGo'yu yapılandıran sistem yöneticilerinin WebAdmin UI üzerinden hangi komutların yapılandırılabileceğini açıkça tanımlamaları için bir izin listesi eklenmiştir.
Nasıl düzeltilir
- sftpgo2.6.3 ya da sonraki bir sürüm
- github.com/drakkan/sftpgo/v22.6.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sftpgoGo | 2.4.0 ≤ v < 2.6.3 | 2.6.3 |
| github.com/drakkan/sftpgo/v2Go | 2.4.0 ≤ v < 2.6.3 | 2.6.3 |
| github.com/drakkan/sftpgoGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.