CVE-2019-12423
Təsvir
Apache CXF tərkibində müştəriyə JWK formatında açıq açarları əldə etməyə imkan verən OpenId Connect JWK Keys xidməti təqdim edir ki, bunlar daha sonra xidmət tərəfindən verilmiş tokenlərin imzasını yoxlamaq üçün istifadə edilə bilər. Adətən, xidmət keystore-un yolunu və keystore daxilolma aliasını təyin etməklə açıq açarı yerli keystore-dan (JKS/PKCS12) əldə edir. Bu hal zəifliyə malik deyil. Lakin "rs.security.keystore.type" konfiqurasiya parametrini "jwk" olaraq təyin etməklə açarları JWK keystore faylından əldə etmək də mümkündür. Bu halda bütün açarlar, o cümlədən bütün gizli açar (private key) və sirr açar (secret key) etibarlılığı daxil olmaqla, bu faylda olduğu kimi ("as is") qaytarılır. Əgər istifadəçi imza keystore faylını gizli və ya sirr açar etibarlılıqları ilə konfiqurasiya edibsə, bu, aşkar təhlükəsizlik riski yaradır. CXF 3.3.5 və 3.2.12 versiyalarından başlayaraq, JWK faylındakı açarın id-sinə uyğun bir alias təyin etmək məcburidir və yalnız həmin açar qaytarılır. Bundan əlavə, hər hansı gizli açar məlumatı standart olaraq çıxarılır. Sirr açarları ehtiva edən "oct" açarları isə ümumiyyətlə qaytarılmır.
Necə düzəltmək olar
- apache cxf3.2.12, 3.3.5 və ya daha yeni versiya
- org.apache.cxf:apache-cxf3.2.12, 3.3.5 və ya daha yeni versiya
- org.apache.cxf:cxf3.2.12, 3.3.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache cxf | v < 3.2.12, 3.3.0 ≤ v < 3.3.5 | 3.2.12, 3.3.5 |
| oracle commerce_guided_search | 11.3.2 | — |
| oracle communications_diameter_signaling_router | 8.0.0 ≤ v ≤ 8.2.2 | — |
| oracle communications_element_manager | 8.2.0 ≤ v ≤ 8.2.2 | — |
| oracle communications_session_report_manager | 8.2.0 ≤ v ≤ 8.2.2 | — |
| oracle communications_session_route_manager | 8.1.1, 8.2.0, 8.2.1 | — |
| oracle flexcube_private_banking | 12.0.0, 12.1.0 | — |
| oracle retail_order_broker | 15.0 | — |
| org.apache.cxf:apache-cxfMaven | v < 3.2.12, 3.3.0 ≤ v < 3.3.5 | 3.2.12, 3.3.5 |
| org.apache.cxf:cxfMaven | v < 3.2.12, 3.3.0 ≤ v < 3.3.5 | 3.2.12, 3.3.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.