ثغرة تجاوز تفويض مساحات العمل المشتركة في Jpom حتى الإصدار 2.11.12 عبر وحدات تحكم Docker

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي Jpom حتى الإصدار 2.11.12 على ثغرة تجاوز تفويض مساحات العمل المشتركة التي تسمح للمستخدمين المصدق لهم بإدارة مضيفي Docker لمساحات عمل أخرى عبر توفير معرفات أصول Docker أجنبية. يمكن للمهاجمين الحاصلين على إذن Docker في أي مساحة عمل التحكم في الحاويات والصور وحدات التخزين والشبكات، بما في ذلك إنشاء حاويات مميزة مع عمليات ربط مضيف.

المعالجة

1. أحصِ جميع نشرات dromara Jpom، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/dromara/Jpom/commit/ff09fe8095a792cea9c4b8babd93a333655d0a28
• تحذيرhttps://www.vulncheck.com/advisories/jpom-through-2.11.12-cross-workspace-authorization-bypass-via-docker-controllers
• مرجعhttps://github.com/dromara/Jpom/blob/v2.11.12/modules/server/src/main/java/org/dromara/jpom/controller/docker/DockerContainerController.java#L48-L51
• مرجعhttps://github.com/dromara/Jpom/blob/v2.11.12/modules/server/src/main/java/org/dromara/jpom/controller/docker/DockerImagesController.java#L48-L51
• مرجعhttps://github.com/dromara/Jpom/issues/119