CVE-2017-4995
Təsvir
Pivotal Spring Security 4.2.0.RELEASE-dən 4.2.2.RELEASE-ə qədər olan versiyalarda və Spring Security 5.0.0.M1 versiyasında bir problem aşkar edilmişdir. Default typing aktiv edildikdə konfiqurasiya olunan Jackson-da ixtiyari kodun icrasına səbəb ola biləcək deserializasiya zəifliyi mövcud idi. Jackson bu zəifliyi məlum "deserialization gadgets"-ləri qara siyahıya salmaqla aradan qaldırmışdır. Spring Security, Jackson-ı qlobal default typing aktiv edilmiş şəkildə konfiqurasiya edir, bu isə o deməkdir ki, aşağıdakı şərtlərin hamısı ödənildiyi təqdirdə (əvvəlki eksployt vasitəsilə) ixtiyari kod icra edilə bilər: (1) SecurityJackson2Modules.getModules(ClassLoader) və ya SecurityJackson2Modules.enableDefaultTyping(ObjectMapper) çağırılara istifadə etməklə Spring Security-nin Jackson dəstəyindən yararlanılır; (2) Etibarsız məlumatları deserializasiya etmək üçün Jackson-dan istifadə olunur (Spring Security Jackson vasitəsilə deserializasiya həyata keçirmir, buna görə də bu, istifadəçinin açıq seçimidir); və (3) classpath-də kodun icrasına imkan verən naməlum (Jackson tərəfindən hələ qara siyahıya salınmamış) "deserialization gadget" mövcuddur. Jackson bu növ hücumların qarşısını almaq üçün qara siyahı yanaşmasını təklif edir, lakin Spring Security default typing-i aktiv etdikdə naməlum "deserialization gadgets"-lərin bloklanmasında proaktiv olmalıdır.
Necə düzəltmək olar
- org.springframework.security:spring-security-core4.2.3.RELEASE, 5.0.0.M2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vmware spring_security | 4.2.0, 4.2.1, 4.2.2, 5.0.0 | — |
| org.springframework.security:spring-security-coreMaven | 4.2.0.RELEASE ≤ v < 4.2.3.RELEASE, 5.0.0.M1 ≤ v < 5.0.0.M2 | 4.2.3.RELEASE, 5.0.0.M2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.