CVE-2026-55436
Açıklama
Coder, kuruluşların Terraform aracılığıyla uzak geliştirme ortamları sağlamasına olanak tanır. Versiyon 2.30.0'dan başlayarak; 2.32.7, 2.33.8 ve 2.34.2 versiyonlarından önceki sürümlerde, AI Bridge Proxy (`aibridgeproxyd`), varsayılan taşıma katmanı `InsecureSkipVerify: true` olarak ayarlanmış bir goproxy sunucusu oluşturuyor ve güvenli bir taşıma katmanını yalnızca üst akış (upstream) proxy yapılandırıldığında atıyordu. Varsayılan yapılandırmada (üst akış proxy yokken), Coder erişim URL'sine yapılan giden HTTPS istekleri herhangi bir TLS sertifikasını kabul ediyordu. Pratik istismar için AI Bridge Proxy ile Coder sunucusu arasında yol üzerinde (man-in-the-middle) bir konumda bulunmak gerekir. Loopback üzerinden aynı konumda konuşlandırılan sistemler etkilenmemektedir. 2.32.7, 2.33.8 ve 2.34.2 versiyonlarındaki düzeltme, güvenli taşıma katmanını (sistem kök CA'larını kullanan TLS 1.2 veya üzeri) koşulsuz olarak uygular. Geçici çözüm olarak, Coder erişim URL'sinin güvenilir bir sertifika kullandığından emin olun ve AI Bridge Proxy ile Coder sunucusu arasındaki ağ yolunu güvence altına alın (örneğin, loopback veya mTLS).
Nasıl düzeltilir
- coder coder2.32.7, 2.33.8, 2.34.2 ya da sonraki bir sürüm
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coder coder | 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7 | 2.34.2, 2.33.8, 2.32.7 |
| github.com/coder/coderGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.