CVE-2020-26238
Təsvir
Cron-utils, cron ifadələrini analiz etmək, təsdiqləmək, miqrasiya etmək və onlar üçün insan tərəfindən oxuna bilən təsvirlər əldə etmək üçün istifadə olunan bir Java kitabxanasıdır. Cron-utils-in 9.1.3 versiyasından əvvəlki versiyalarında şablon inyeksiyası (template injection) zəifliyi mövcuddur. Bu, hücumçulara ixtiyari Java EL ifadələrini yerləşdirməyə imkan verir ki, bu da autentifikasiyasız uzaqdan kodun icrasına (RCE) səbəb olan zəifliyə gətirib çıxarır. Yalnız etibarsız Cron ifadələrini təsdiqləmək üçün @Cron annotasiyasından istifadə edən layihələr təsirlənmişdir. Bu problem 9.1.3 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- cron-utils_project cron-utils9.1.3 və ya daha yeni versiya
- com.cronutils:cron-utils9.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cron-utils_project cron-utils | v < 9.1.3 | 9.1.3 |
| com.cronutils:cron-utilsMaven | v < 9.1.3 | 9.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.