CVE-2021-41278

Resumen

El SDK de funciones para EdgeX está destinado a proporcionar toda la fontanería necesaria para que los desarrolladores se inicien en el procesamiento/transformación/exportación de datos de la plataforma EdgeX IoT. En las versiones afectadas, un cifrado roto en la transformación "AES" de app-functions-sdk en las versiones de EdgeX Foundry anteriores a Jakarta permite a atacantes descifrar mensajes por medio de vectores no especificados. El app-functions-sdk exporta una transformación "aes" a la que los scripts de usuario pueden llamar opcionalmente para cifrar datos en la cadena de procesamiento. No es proporcionada ninguna función de descifrado. El cifrado no está habilitado por defecto, pero si es usado, el nivel de protección puede ser menor de lo que el usuario espera debido a una implementación rota. La versión v2.1.0 (versión EdgeX Foundry Jakarta y posteriores) de app-functions-sdk-go/v2 deja de lado la transformación "aes" y proporciona una transformación "aes256" mejorada en su lugar. La implementación rota permanecerá en un estado obsoleto hasta que sea eliminada en la próxima versión mayor de EdgeX para evitar la ruptura del software existente que depende de la implementación rota. Como la transformación rota es una función de biblioteca que no es invocada por defecto, los usuarios que no usan la transformación AES en sus procesos no están afectados. Se insta a los afectados a que actualicen a la versión de Jakarta EdgeX y a que modifiquen las cadenas de procesamiento para usar la nueva transformación "aes256"

• CVE-2021-41278Escáner

  Herramienta de escaneo por lotes para la vulnerabilidad de lectura arbitraria de archivos en Metabase