CVE-2021-29481
Təsvir
Ratpack veb tətbiqlərinin yaradılması üçün bir alətlər dəstidir. 1.9.0 versiyasından əvvəlki versiyalarda, klient tərəfli sessiyaların standart konfiqurasiyası kukilərin dəyərləri kimi şifrələnməmiş, lakin imzalanmış məlumatların təyin edilməsinə səbəb olur. Bu o deməkdir ki, əgər sessiyaya hər hansı həssas məlumat daxil olarsa, bu məlumat kukilərə çıxışı olan tərəf tərəfindən oxuna bilər. Bunun zəiflik olması üçün sessiyada müəyyən növ həssas məlumatların saxlanılması və sessiya kukisinin sızması lazımdır. Məsələn, kukilər httpOnly ilə konfiqurasiya edilməyib və saytda mövcud olan yaxın XSS zəifliyi kukilərin ələ keçirilməsinə şərait yaradır. 1.9.0 versiyasından etibarən təhlükəsiz şəkildə təsadüfi generatsiya edilmiş imzalama açarı istifadə olunur. Müvəqqəti həll yolu kimi, sənədləşdirmədə tövsiyə edildiyi kimi şifrələmə açarı təmin edilə bilər.
Necə düzəltmək olar
- ratpack_project ratpack1.9.0 və ya daha yeni versiya
- io.ratpack:ratpack-session1.9.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ratpack_project ratpack | v < 1.9.0 | 1.9.0 |
| io.ratpack:ratpack-sessionMaven | v < 1.9.0 | 1.9.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.