CVE-2025-27137
Açıklama
Dependency-Track, kuruluşların yazılım tedarik zincirindeki riskleri belirlemesine ve azaltmasına olanak tanıyan bir bileşen analiz platformudur. Dependency-Track, `SYSTEM_CONFIGURATION` iznine sahip kullanıcıların bildirim şablonlarını özelleştirmesine izin verir. Şablonlar, Pebble şablon motoru kullanılarak değerlendirilir. Pebble, şablon yazarlarının değerlendirme sırasında rastgele dosyaların içeriğini dahil etmelerine olanak tanıyan bir `include` etiketini destekler. Versiyon 4.12.6 öncesinde, `SYSTEM_CONFIGURATION` iznine sahip Dependency-Track kullanıcıları, `/etc/passwd` veya `/proc/1/environ` gibi hassas yerel dosyaları `include` eden bildirim şablonları oluşturarak `include` etiketini kötüye kullanabilirler. Bir bildirim kuralı (diğer adıyla "Alert") için böyle bir şablon yapılandırıldığında ve bildirimlerin saldırgan tarafından kontrol edilen bir hedefe gönderilmesi sağlandığında, hassas bilgiler sızdırılabilir. Sorun Dependency-Track 4.12.6 sürümünde düzeltilmiştir. Düzeltilen sürümlerde `include` etiketi artık kullanılamaz. Etiketin kullanımı, şablon değerlendirmesinin başarısız olmasına neden olur. Geçici bir çözüm olarak, güvenilmeyen kullanıcılara `SYSTEM_CONFIGURATION` izni atanmasından kaçının. `SYSTEM_CONFIGURATION` izni varsayılan olarak yalnızca `Administrators` ekibi üyelerine verilir. Bu iznin yönetici olmayan kullanıcılara veya ekiplere atanması kendi başına bir güvenlik riskidir ve şiddetle önerilmez.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| DependencyTrack dependency-track | < 4.12.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.