CVE-2021-41278

Zusammenfassung

# Functions SDK für EdgeX Das Functions SDK für EdgeX soll Entwicklern die gesamte notwendige Infrastruktur bieten, um mit der Verarbeitung, Transformation und dem Export von Daten aus der EdgeX-IoT-Plattform zu beginnen. In betroffenen Versionen ermöglicht eine fehlerhafte Verschlüsselung in der „AES“-Transformation des app-functions-sdk in EdgeX-Foundry-Versionen vor Jakarta Angreifern, Nachrichten über nicht näher spezifizierte Vektoren zu entschlüsseln. Das app-functions-sdk exportiert eine „aes“-Transformation, die von Benutzerskripten optional aufgerufen werden kann, um Daten in der Verarbeitungspipeline zu verschlüsseln. Es wird keine Entschlüsselungsfunktion bereitgestellt. Die Verschlüsselung ist standardmäßig nicht aktiviert, aber wenn sie verwendet wird, kann das Schutzniveau aufgrund einer fehlerhaften Implementierung geringer sein, als der Benutzer erwartet. Version v2.1.0 (EdgeX-Foundry-Jakarta-Release und später) von app-functions-sdk-go/v2 verwirft die „aes“-Transformation und bietet stattdessen eine verbesserte „aes256“-Transformation an. Die fehlerhafte Implementierung bleibt in einem veralteten Zustand, bis sie im nächsten großen EdgeX-Release entfernt wird, um einen Bruch bestehender Software zu vermeiden, die von der fehlerhaften Implementierung abhängt. Da die fehlerhafte Transformation eine Bibliotheksfunktion ist, die standardmäßig nicht aufgerufen wird, sind Benutzer, die die AES-Transformation nicht in ihren Verarbeitungspipelines verwenden, nicht betroffen. Betroffene Benutzer werden dringend gebeten, auf das Jakarta-EdgeX-Release zu aktualisieren und die Verarbeitungspipelines so zu ändern, dass die neue „aes256“-Transformation verwendet wird.

• CVE-2021-41278Scanner

  Massenscan-Tool für die 'Arbitrary File Read'-Schwachstelle in Metabase