CVE-2026-55432
Açıklama
Coder, kuruluşların Terraform aracılığıyla uzak geliştirme ortamları sağlamasına olanak tanır. 2.29.7, 2.32.7, 2.33.8 ve 2.34.2 sürümlerinden önce, `CreateSubAgent` RPC'si, çalışma alanı uygulamalarını kalıcı hale getirmeden önce talep edilen uygulama paylaşım düzeyini şablonun `MaxPortSharingLevel` değeriyle doğrulamıyordu; bu durum, bir çalışma alanı sahibinin yöneticinin yapılandırdığı maksimum sınırı aşmasına izin veriyordu. İstismar edilmesi için saldırganın kontrol ettiği bir çalışma alanında alt ajan uygulamaları kaydetme yeteneğine sahip olması gerekir. 2.29.7, 2.32.7, 2.33.8 ve 2.34.2 sürümlerindeki düzeltme, alt ajan uygulama paylaşım düzeyini şablonun `MaxPortSharingLevel` değeriyle sınırlandırır. Geçici bir çözüm olarak, alt alan adı tabanlı uygulama yönlendirmesini engellemek için joker karakterli uygulama ana bilgisayar adlarını (`CODER_WILDCARD_ACCESS_URL`) devre dışı bırakın.
Nasıl düzeltilir
- coder coder2.29.17, 2.32.7, 2.33.8, 2.34.2 ya da sonraki bir sürüm
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7, 2.29.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coder coder | v < 2.29.17, 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.29.17, 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7, v < 2.29.17 | 2.34.2, 2.33.8, 2.32.7, 2.29.17 |
| github.com/coder/coderGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.