Coder 2.30.x < 2.32.7 / 2.33.x < 2.33.8 / 2.34.x < 2.34.2 AI Bridge プロキシ TLS 検証バイパス

high Nessus プラグイン ID 326278

Language:

概要

リモートホストには脆弱性に影響を受けるアプリケーションがインストールされています。

説明

リモートホストにインストールされている Coder のバージョンは、2.32.7 より前の 2.30.x、2.33.8 より前の 2.33.x、または 2.34.2 より前の 2.34.x です。したがって、脆弱性の影響を受けます。

AI Bridge Proxy は、デフォルト構成で TLS 証明書の検証をスキップします。プロキシが goproxy サーバーを作成し、そのデフォルトの転送が InsecureSkipVerify を設定し、Upstream プロキシが構成されるときにのみ安全な転送が割り当てられます。デフォルトの構成(アップストリームプロキシなし)では、コーダーアクセスURLへの送信HTTPSは任意のTLS証明書を受け入れたため、オンパスの攻撃者がセッショントークンとAPIキーを傍受する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。