PT-2026-45353
CVE-2026-10517
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
5.8
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Clair (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يسمح ثغرة في مكون «fetcher» للنظام بإجراء طلبات HTTP صادرة إلى عناوين URI التي يزودها المهاجم من واصفات طبقة البيان، وذلك بسبب عدم وجود تصفية لعناوين IP أو أنظمة العناوين. عندما لا يتم تكوين مصادقة المفتاح المشترك مسبقًا (PSK)، يمكن لمهاجم غير مصدق إرسال ملف بيان يحتوي على عنوان URI يشير إلى خدمات داخلية أو نقاط نهاية بيانات تعريف السحابة، مما يؤدي إلى تزوير الطلب من جانب الخادم (SSRF). ويكون هذا التزوير (SSRF) انعكاسيًا بالنسبة للاستجابات غير 200، مما قد يؤدي إلى تسرب ما يصل إلى 256 بايت من محتوى نص الخطأ من خلال رسائل خطأ CheckResponse. لا تتأثر عمليات نشر Red Hat Quay التي يديرها المشغلون، حيث إنها تقوم بتكوين PSK تلقائيًا.
التوصيات
قم بتكوين مصادقة PSK لمنع المهاجمين غير المصادق عليهم من إرسال قوائم البيانات.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾