CVE-2022-27225
Təsvir
2021.4.3 versiyasından əvvəlki Gradle Enterprise bəzi hallarda şifrələnməmiş məlumat ötürülməsindən istifadə edir. O, şəxsiyyətin idarə edilməsi xidmətləri üçün Keycloak-dan istifadə edir. Giriş prosesi zamanı Keycloak brauzer kukilərini təyin edir ki, bu da effektiv şəkildə "məni xatırla" funksionallığını təmin edir. Köhnə Safari versiyaları ilə geri uyğunluğu təmin etmək üçün Keycloak kukinin Secure atributu olmayan dublikatını təyin edir və bu, həmin kukinin HTTP vasitəsilə müvafiq məkana daxil olduqda göndərilməsinə imkan verir. Bu, hücumçuya (Gradle Enterprise hostunu təqlid etmək imkanı olan) real server HTTPS tələb etsə belə, istifadəçiyə serverə yönələn http:// linkinə kliklədərək onun giriş sessiyasını ələ keçirmək potensialı yaradır.
Necə düzəltmək olar
- gradle enterprise2021.4.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gradle enterprise | 2020.1 ≤ v < 2021.4.3 | 2021.4.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.