CVE-2018-1000134
Təsvir
UnboundID LDAP SDK-nın 801111d8b5c732266a5dbd4b3bb0b6c7b94d7afb commit-indən problemin bildirildiyi və həll edildiyi 8471904a02438c03965d21367890276bc25fa5a6 commit-inə qədər olan versiyaları SimpleBindRequest sinfinin process funksiyasında yanlış girişə nəzarət (Incorrect Access Control) zəifliyinə malikdir; bu funksiya sinxron rejimdə işləyərkən boş şifrənin olub-olmadığını yoxlamır. Tətbiq edilmiş düzəliş olan https://github.com/pingidentity/ldapsdk/commit/8471904a02438c03965d21367890276bc25fa5a6#diff-f6cb23b459be1ec17df1da33760087fd commit-i hər hansı etibarlı istifadəçini təqlid etmək imkanına səbəb ola bilər. Bu hücum, https://tools.ietf.org/html/rfc4513#section-5.1.1 sənədinə uyğun əlavə doğrulama aparmayan serverlərə etibarlı istifadəçi adı və boş şifrə təqdim etməklə həyata keçirilə bilər. Görünür ki, bu zəiflik 8471904a02438c03965d21367890276bc25fa5a6 commit-indən sonra aradan qaldırılmışdır.
Necə düzəltmək olar
- com.unboundid:unboundid-ldapsdk4.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pingidentity ldapsdk | 1.1.0 ≤ v ≤ 4.0.5 | — |
| com.unboundid:unboundid-ldapsdkMaven | 1.1.0 ≤ v < 4.0.5 | 4.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.