CVE-2021-41278

概要

Functions SDK for EdgeXは、開発者がEdgeX IoTプラットフォームからデータを処理・変換・エクスポートする際に必要なすべての基盤を提供することを目的としています。影響を受けるバージョンでは、Jakartaより前のEdgeX Foundryリリースにおけるapp-functions-sdkの「AES」変換の暗号化実装に欠陥があり、攻撃者が不特定のベクトルを介してメッセージを復号化できる可能性があります。app-functions-sdkは、ユーザースクリプトが処理パイプライン内でデータを暗号化するために任意で呼び出せる「aes」変換をエクスポートします。復号化関数は提供されていません。暗号化はデフォルトでは有効ではありませんが、使用する場合、実装の欠陥により、保護レベルがユーザーの期待よりも低くなる可能性があります。app-functions-sdk-go/v2のバージョンv2.1.0（EdgeX Foundry Jakartaリリース以降）では、「aes」変換は非推奨となり、代わりに改良された「aes256」変換が提供されます。欠陥のある実装は、それに依存する既存ソフトウェアの破損を避けるため、次のEdgeXメジャーリリースで削除されるまで非推奨の状態で維持されます。欠陥のある変換はデフォルトでは呼び出されないライブラリ関数であるため、処理パイプラインでAES変換を使用しないユーザーは影響を受けません。影響を受けるユーザーは、Jakarta EdgeXリリースにアップグレードし、処理パイプラインを新しい「aes256」変換を使用するように変更することを強く推奨します。

• CVE-2021-41278スキャナー

  Metabase任意ファイル読み取り脆弱性バッチスキャンツール