Threat Investigation
Təqdimat tələb edin

CVE-2020-26290

Kritik

Təsvir

Dex, Go dilində yazılmış federativ OpenID Connect provayderidir. Dex-in 2.27.0 versiyasından əvvəlki versiyalarında SAML konnektorundan istifadə edən istifadəçilərə təsir edən kritik boşluqlar mövcuddur. Bu boşluqlar, altda yatan Go kitabxanasındakı XML kodlaşdırma problemləri səbəbindən imzanın potensial olaraq yan keçilməsinə şərait yaradır. Boşluqlar, Mattermost-dan götürülmüş xml-roundtrip-validator-dan istifadə edilərək 2.27.0 versiyasında aradan qaldırılmışdır (əlaqəli istinadlara baxın).

CiddilikKritik
CVSS9.3
İstismar ehtimalı—
MəhsulLinuxfoundation Dex
Dərc28 dek 2020
İlk görülmə28 dek 2020
Zəiflik növüCWE-347CWE-347

Necə düzəltmək olar

Yeniləyin
  • linuxfoundation dex2.27.0 və ya daha yeni versiya
  • github.com/dexidp/dex2.27.0 və ya daha yeni versiya
  • github.com/russellhaering/goxmldsig1.1.0 və ya daha yeni versiya

Təsirlənən məhsullar

MəhsulTəsirlənən versiyalarDüzəldildiyi versiya
linuxfoundation dexv < 2.27.02.27.0
github.com/dexidp/dexGov < 2.27.02.27.0
github.com/russellhaering/goxmldsigGov < 1.1.01.1.0

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.