CVE-2024-7143
Açıklama
Pulp paketinde bir açık bulundu. Pulp içindeki bir rol tabanlı erişim kontrolü (RBAC) nesnesi, oluşturulurken izinler atayacak şekilde ayarlandığında `AutoAddObjPermsMixin` (genellikle add_roles_for_object_creator metodu) kullanılır. Bu metod, mevcut kimliği doğrulanmış kullanıcıyı kontrol ederek nesne oluşturucusunu bulur. Bir görev (task) kapsamında oluşturulan nesneler için bu mevcut kullanıcı, görev nesnesi üzerinde herhangi bir izni olan ilk kullanıcı olarak belirlenir. Bu durum, görevi başlatmamış olsalar bile, model/alan düzeyinde görev izinlerine sahip olan en eski kullanıcının her zaman bir görevin mevcut kullanıcısı olarak atanacağı anlamına gelir. Bu nedenle, görevlerde oluşturulan tüm nesnelerin izinleri bu en eski kullanıcıya atanır ve gerçek oluşturucu kullanıcı hiçbir izin almaz.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pulpproject pulp | Aralık belirtilmemiş | — |
| pulpcorePyPI | v ≤ 3.56.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.