CVE-2021-41278

Riepilogo

Functions SDK per EdgeX è pensato per fornire tutta la struttura necessaria agli sviluppatori per iniziare a elaborare/trasformare/esportare dati dalla piattaforma IoT EdgeX. Nelle versioni interessate, la crittografia compromessa nella trasformazione "AES" di app-functions-sdk nelle release di EdgeX Foundry precedenti a Jakarta consente agli attaccanti di decrittare i messaggi tramite vettori non specificati. app-functions-sdk esporta una trasformazione "aes" che gli script utente possono opzionalmente chiamare per crittografare i dati nella pipeline di elaborazione. Non viene fornita alcuna funzione di decrittazione. La crittografia non è abilitata per impostazione predefinita, ma se utilizzata, il livello di protezione potrebbe essere inferiore a quello che l'utente si aspetta a causa di un'implementazione compromessa. La versione v2.1.0 (release EdgeX Foundry Jakarta e successive) di app-functions-sdk-go/v2 depreca la trasformazione "aes" e fornisce al suo posto una trasformazione "aes256" migliorata. L'implementazione compromessa rimarrà in uno stato deprecato fino alla sua rimozione nella prossima release major di EdgeX, per evitare di rompere il software esistente che dipende dall'implementazione compromessa. Poiché la trasformazione compromessa è una funzione di libreria che non viene invocata per impostazione predefinita, gli utenti che non utilizzano la trasformazione AES nelle loro pipeline di elaborazione non sono interessati. Coloro che sono interessati sono invitati ad aggiornare alla release EdgeX Jakarta e a modificare le pipeline di elaborazione per utilizzare la nuova trasformazione "aes256".

• CVE-2021-41278Scanner

  Metabase strumento di scansione batch per vulnerabilità di lettura arbitraria di file