CVE-2018-15758
Təsvir
Spring Security OAuth-nun 2.3-dən kiçik olan 2.3.4 versiyasına qədərki, 2.2-dən kiçik olan 2.2.3 versiyasına qədərki, 2.1-dən kiçik olan 2.1.3 versiyasına qədərki, 2.0-dan kiçik olan 2.0.16 versiyasına qədərki və daha köhnə dəstəklənməyən versiyaları müəyyən şərtlər altında imtiyazların yüksəldilməsinə həssas ola bilər. Bədniyyətli istifadəçi və ya hücumçu təsdiqləmə son nöqtəsinə (approval endpoint) elə bir sorğu göndərə bilər ki, bu, əvvəllər yadda saxlanılmış avtorizasiya sorğusunu dəyişdirə və növbəti təsdiqləmə zamanı imtiyazların yüksəldilməsinə səbəb ola bilər. Bu ssenari tətbiqin AuthorizationRequest-i kontroller metod arqumenti kimi bəyan edən xüsusi təsdiqləmə son nöqtəsindən istifadə etmək üçün konfiqurasiya edildiyi halda baş verə bilər. Bu zəiflik aşağıdakı bütün tələbləri yerinə yetirən tətbiqləri riskə atır: Avtorizasiya Serveri rolunda çıxış etmək (məsələn, @EnableAuthorizationServer) və AuthorizationRequest-i kontroller metod arqumenti kimi bəyan edən xüsusi Təsdiqləmə Son Nöqtəsindən istifadə etmək. Bu zəiflik aşağıdakı hallarda tətbiqləri riskə atmır: Avtorizasiya Serveri rolunda çıxış edib standart Təsdiqləmə Son Nöqtəsindən istifadə etdikdə, yalnız Resurs Serveri rolunda çıxış etdikdə (məsələn, @EnableResourceServer) və ya yalnız Klient rolunda çıxış etdikdə (məsələn, @EnableOAuthClient).
Necə düzəltmək olar
- pivotal_software spring_security_oauth2.0.16, 2.1.3, 2.2.3, 2.3.4 və ya daha yeni versiya
- org.springframework.security.oauth:spring-security-oauth22.0.16, 2.1.3, 2.2.3.RELEASE, 2.3.4.RELEASE və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pivotal_software spring_security_oauth | v ≤ 1.0.5, 2.0.0 ≤ v < 2.0.16, 2.1.0 ≤ v < 2.1.3, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.4 | 2.0.16, 2.1.3, 2.2.3, 2.3.4 |
| org.springframework.security.oauth:spring-security-oauth2Maven | 2.0.0 ≤ v < 2.0.16, 2.1.0 ≤ v < 2.1.3, 2.2.0 ≤ v < 2.2.3.RELEASE, 2.3.0 ≤ v < 2.3.4.RELEASE | 2.0.16, 2.1.3, 2.2.3.RELEASE, 2.3.4.RELEASE |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.