CVE-2021-41766
Təsvir
Apache Karaf, tətbiqlərin və Java runtime-ın monitorinqi üçün Java Management Extensions (JMX)-dən istifadəyə icazə verir. JMX, klient-server kommunikasiyası üçün Java seriyalaşdırılmış obyektlərinə əsaslanan Java RMI texnologiyasıdır. Standart JMX implementasiyası autentifikasiya olunmamış deseriyalaşdırma hücumlarına qarşı gücləndirilsə də, Apache Karaf tərəfindən istifadə edilən implementasiya bu növ hücumlardan qorunmur. Java deseriyalaşdırma zəifliklərinin təsiri hədəf class path daxilində mövcud olan klaslardan güclü şəkildə asılıdır. Ümumiyyətlə, etibarsız məlumatların deseriyalaşdırılması həmişə yüksək təhlükəsizlik riski təşkil edir və bunun qarşısı alınmalıdır. Risk aşağıdır, çünki standart olaraq Karaf JMX server class path-də məhdud klaslar toplusundan istifadə edir. Bu, sistem miqyaslı klaslardan (məsələn, lib qovluğundakı jar faylları) asılıdır.
Necə düzəltmək olar
- apache karaf4.3.6 və ya daha yeni versiya
- org.apache.karaf.management:org.apache.karaf.management.server4.3.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache karaf | v < 4.3.6 | 4.3.6 |
| org.apache.karaf.management:org.apache.karaf.management.serverMaven | v < 4.3.6 | 4.3.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.