CVE-2026-55078
Açıklama
Coder, kuruluşların Terraform aracılığıyla uzak geliştirme ortamları sağlamasına olanak tanır. Versiyon 2.17.0'dan başlayarak; 2.29.7, 2.32.7, 2.33.8 ve 2.34.2 versiyonlarından önceki sürümlerde, `POST /api/v2/files` uç noktası, `CreateTarFromZip` üzerinden zip yüklemelerini bellekte tar formatına dönüştürür; bu işlem giriş başına boyut sınırını uygular ancak toplam açılmış çıktı üzerinde herhangi bir toplu sınır uygulamayarak sınırsız bir bellek içi arabelleğe yazım yapar. İstismar edilmesi için kimliği doğrulanmış dosya yükleme erişimi gereklidir ve etkisi kullanılabilirlikle (hizmet reddi) sınırlıdır. 2.29.7, 2.32.7, 2.33.8 ve 2.34.2 versiyonlarındaki düzeltme, öngörülen giriş boyutlarını toplayan bir meta veri ön kontrolü ve açma işlemi sırasında toplu sınırı uygulayan bir akış yazıcısı ekler. Geçici çözüm olarak, dosya yükleme izinlerini güvenilir kullanıcılarla sınırlandırın veya `coderd` önüne istek gövdesi boyut sınırlarına sahip bir ters proxy yerleştirin.
Nasıl düzeltilir
- coder coder2.29.17, 2.32.7, 2.33.8, 2.34.2 ya da sonraki bir sürüm
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7, 2.29.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coder coder | 2.17.0 ≤ v < 2.29.17, 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.29.17, 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7, 2.17.0 ≤ v < 2.29.17 | 2.34.2, 2.33.8, 2.32.7, 2.29.17 |
| github.com/coder/coderGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.