CVE-2026-44454
Açıklama
Coder, kuruluşların Terraform aracılığıyla uzak geliştirme ortamları sağlamasına olanak tanır. 2.29.7 ve 2.30.2 sürümlerinden önce, `dotfiles` kayıt modülü temizlenmemiş kullanıcı girdilerini kabuk komutlarına aktarıyordu; bu durum, sağlanan bir çalışma alanı içinde rastgele kod çalıştırılmasına izin veriyordu. Özel olarak hazırlanmış bir `dotfiles_uri` değeri (örneğin, `$(...)` gibi kabuk komutu ikamesi içeren bir değer) sağlayan herhangi bir kullanıcı, kendi çalışma alanında komut çalıştırabilirdi. Çalışma Alanı Oluştur sayfasının `mode=auto` derin bağlantıları bunu tek tıkla gerçekleştirilen bir saldırıya dönüştürdü: bir saldırgan, `param.dotfiles_uri` kısmını önceden dolduran ve açık bir kullanıcı onayı olmaksızın, saldırgan tarafından kontrol edilen değerle sessizce bir çalışma alanı sağlayan bir URL oluşturabiliyordu. 2.29.7 ve 2.30.2 sürümlerinde, özel karakterler içeren URI'leri ve kullanıcı adlarını reddetmek için dotfiles modülüne girdi doğrulaması eklendi ve güvensiz `eval`/`sh -c` kullanımı kaldırıldı. Bu işlem, komut enjeksiyonunu kaynağında ortadan kaldırdı.
Nasıl düzeltilir
- coder coder2.29.7, 2.30.2 ya da sonraki bir sürüm
- github.com/coder/coder/v22.29.7, 2.30.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coder coder | v < 2.29.7, 2.30.0 ≤ v < 2.30.2 | 2.29.7, 2.30.2 |
| github.com/coder/coder/v2Go | v < 2.29.7, 2.30.0 ≤ v < 2.30.2 | 2.29.7, 2.30.2 |
| github.com/coder/coderGo | v ≤ 0.27.3, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.