CVE-2020-1745
Təsvir
Undertow versiya 2.0.29.Final və daha əvvəlki versiyalarda, standart AJP konfiqurasiya portu olan 8009 ilə aktivləşdirilmiş AJP konnektorunda fayl daxiletmə (file inclusion) zəifliyi aşkar edilmişdir və bu problem 2.0.30.Final versiyasında aradan qaldırılmışdır. Uzaqdakı autentifikasiya olunmamış hücumçu bu zəiflikdən istifadə edərək həssas serverdəki veb tətbiqi fayllarını oxuya bilər. Həssas serverin fayl yükləməsinə icazə verdiyi hallarda, hücumçu müxtəlif fayl növləri daxilində zərərli JavaServer Pages (JSP) kodu yükləyə və uzaqdan kodun icrasını təmin etmək üçün bu zəifliyi tetikləyə bilər.
Necə düzəltmək olar
- io.undertow:undertow-core2.0.30 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat undertow | v ≤ 2.0.29 | — |
| io.undertow:undertow-coreMaven | v < 2.0.30 | 2.0.30 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.