CVE-2021-41278

요약

# EdgeX용 Functions SDK Functions SDK for EdgeX는 개발자가 EdgeX IoT 플랫폼에서 데이터를 처리/변환/내보내기하는 작업을 시작하는 데 필요한 모든 기반을 제공하기 위해 설계되었습니다. 영향을 받는 버전에서는 Jakarta 이전의 EdgeX Foundry 릴리스에서 app-functions-sdk의 "AES" 변환에 손상된 암호화가 존재하여, 공격자가 특정되지 않은 벡터를 통해 메시지를 복호화할 수 있습니다. app-functions-sdk는 사용자 스크립트가 처리 파이프라인에서 데이터를 암호화하기 위해 선택적으로 호출할 수 있는 "aes" 변환을 내보냅니다. 복호화 함수는 제공되지 않습니다. 암호화는 기본적으로 활성화되어 있지 않지만, 사용할 경우 손상된 구현으로 인해 보호 수준이 사용자가 기대하는 것보다 낮을 수 있습니다. app-functions-sdk-go/v2의 v2.1.0 버전(EdgeX Foundry Jakarta 릴리스 이상)은 "aes" 변환을 더 이상 사용하지 않으며(deprecate), 그 자리에 개선된 "aes256" 변환을 제공합니다. 손상된 구현은 손상된 구현에 의존하는 기존 소프트웨어의 중단을 방지하기 위해 다음 EdgeX 메이저 릴리스에서 제거될 때까지 더 이상 사용되지 않는 상태로 유지됩니다. 손상된 변환은 기본적으로 호출되지 않는 라이브러리 함수이므로, 처리 파이프라인에서 AES 변환을 사용하지 않는 사용자는 영향을 받지 않습니다. 영향을 받는 사용자는 Jakarta EdgeX 릴리스로 업그레이드하고 처리 파이프라인을 수정하여 새로운 "aes256" 변환을 사용할 것을 권장합니다.

• CVE-2021-41278스캐너

  Metabase arbitrary file read vulnerability batch scanning tool