CVE-2022-31690
Təsvir
Spring Security-nin 5.7.5-dən əvvəlki 5.7 versiyaları, 5.6.9-dan əvvəlki 5.6 versiyaları və daha köhnə dəstəklənməyən versiyalar müəyyən şərtlər altında imtiyazların yüksəldilməsinə həssas ola bilər. Bədniyyətli istifadəçi və ya hücumçu, Client tərəfindən (brauzer vasitəsilə) Authorization Server-ə göndərilən sorğunu dəyişdirə bilər ki, bu da növbəti təsdiqləmə zamanı imtiyazların yüksəldilməsinə səbəb ola bilər. Bu ssenari, access token almaq üçün token endpoint-nə edilən növbəti sorğuya cavab olaraq Authorization Server-in boş scope siyahısı (RFC 6749, Bölmə 5.1-ə uyğun olaraq) ehtiva edən OAuth2 Access Token Response qaytarması halında baş verə bilər.
Necə düzəltmək olar
- vmware spring_security5.6.9, 5.7.5 və ya daha yeni versiya
- org.springframework.security:spring-security-oauth2-client5.7.5, 5.6.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vmware spring_security | 5.6.0 ≤ v < 5.6.9, 5.7.0 ≤ v < 5.7.5 | 5.6.9, 5.7.5 |
| netapp active_iq_unified_manager | Aralıq göstərilməyib | — |
| org.springframework.security:spring-security-oauth2-clientMaven | 5.7.0 ≤ v < 5.7.5, v < 5.6.9 | 5.7.5, 5.6.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.