CVE-2019-9733
Təsvir
JFrog Artifactory 6.7.3 versiyasında bir problem aşkar edilmişdir. Defolt olaraq, administratorun Artifactory konsoluna girişi bloklandıqda, admin hesabının şifrəsini sıfırlamaq üçün access-admin hesabı istifadə olunur. Buna yalnız localhost-dan birbaşa qoşulma vasitəsilə icazə verilir, lakin sorğuya X-Forwarded-For HTTP başlığının əlavə edilməsi autentifikasiya olunmamış istifadəçiyə icazə verilən IP ünvanlarının ağ siyahısından yan keçərək access-admin hesabının defolt etibarlılıq məlumatları ilə daxil olmağa imkan verir. access-admin hesabı Artifactory-nin API-dən istifadə edərək admin hesabı da daxil olmaqla bütün istifadəçilər üçün autentifikasiya tokenləri tələb edə bilər və nəticədə Artifactory tərəfindən idarə olunan bütün artefaktlar və repozitoriyalara tam nəzarət əldə edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jfrog artifactory | 6.7.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.