CVE-2018-8039

Yüksək

Təsvir

Apache CXF-i 'System.setProperty("java.protocol.handler.pkgs", "com.sun.net.ssl.internal.www.protocol");' vasitəsilə com.sun.net.ssl tətbiqindən istifadə etmək üçün konfiqurasiya etmək mümkündür. Bu sistem xüsusiyyəti təyin edildikdə, CXF HostnameVerifier-in köhnə com.sun.net.ssl.HostnameVerifier interfeysi ilə işləməsini təmin etmək üçün refleksiya (reflection) mexanizmindən istifadə edir. Lakin CXF-dəki standart HostnameVerifier tətbiqi bu interfeysdəki metodu reallaşdırmır və istisna (exception) baş verir. Bununla belə, 3.2.5 və 3.1.16 versiyalarından əvvəlki Apache CXF-də həmin istisna refleksiya kodu tərəfindən tutulur və düzgün şəkildə ötürülmür. Bu o deməkdir ki, əgər siz CXF ilə com.sun.net.ssl stekindən istifadə edirsinizsə, TLS host adının yoxlanılması zamanı xəta baş verməyəcək və bu da CXF klientini "man-in-the-middle" hücumlarına məruz qoyacaqdır.

CiddilikYüksək

CVSS8.1

İstismar ehtimalı—

Məhsul

Apache Cxf

Dərc2 iyl 2018

İlk görülmə2 iyl 2018

Necə düzəltmək olar

Yeniləyin

apache cxf3.1.16, 3.2.5 və ya daha yeni versiya
org.apache.cxf:cxf-rt-transports-http3.2.5, 3.1.16 və ya daha yeni versiya
org.apache.cxf:apache-cxf3.2.5, 3.1.16 və ya daha yeni versiya

İstehsalçı bildirişləri

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
apache cxf	v < 3.1.16, 3.2.0 ≤ v < 3.2.5	3.1.16, 3.2.5
redhat jboss_enterprise_application_platform	7.1.0	—
org.apache.cxf:cxf-rt-transports-httpMaven	3.2.0 ≤ v < 3.2.5, v < 3.1.16	3.2.5, 3.1.16
org.apache.cxf:apache-cxfMaven	3.2.0 ≤ v < 3.2.5, v < 3.1.16	3.2.5, 3.1.16

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.