CVE-2024-55886
Açıklama
OpenSearch Data Prepper, verileri ölçeklenebilir şekilde kabul eden, filtreleyen, dönüştüren, zenginleştiren ve yönlendiren bir OpenSearch projesi bileşenidir. Data Prepper'ın 2.1.0 sürümünden başlayarak 2.10.2 sürümü öncesindeki OpenTelemetry Logs kaynağında, bazı özel kimlik doğrulama eklentilerinin kimlik doğrulaması gerçekleştirmemesine neden olan bir güvenlik açığı bulunmaktadır. Bu durum, belirli koşullar altında yetkisiz kullanıcıların OpenTelemetry Logs verilerini içeri aktarmasına izin verir. Bu güvenlik açığı, Data Prepper'daki yerleşik `http_basic` kimlik doğrulama sağlayıcısını etkilememektedir. `http_basic` kimlik doğrulama sağlayıcısını kullanan boru hatları (pipelines) kimlik doğrulaması gerektirmeye devam etmektedir. Güvenlik açığı yalnızca, `getAuthenticationInterceptor()` yerine `getHttpAuthenticationService()` metodunu uygulayan Data Prepper `GrpcAuthenticationProvider` kimlik doğrulama eklentisinin özel uygulamaları için geçerlidir. Data Prepper 2.10.2 bu sorun için bir düzeltme içermektedir. Yükseltme yapamayanlar, Data Prepper'daki yerleşik `http_basic` kimlik doğrulama sağlayıcısını kullanabilir ve/veya OpenTelemetry Logs kaynağını çalıştıran Data Prepper örneklerinin önüne bir kimlik doğrulama proxy'si ekleyebilir.
Nasıl düzeltilir
- amazon opensearch_data_prepper2.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon opensearch_data_prepper | 2.1.0 ≤ v < 2.10.2 | 2.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.