CVE-2022-39222
Təsvir
Dex, digər tətbiqlər üçün autentifikasiyanı təmin etmək məqsədilə OpenID Connect-dən istifadə edən kimlik xidmətidir. İctimai müştəriləri olan Dex instansiyaları (və buna bağlı olaraq həmin Dex instansiyaları tərəfindən verilmiş tokenləri qəbul edən müştərilər), əgər onlar 2.35.0 versiyasından əvvəlki versiyanı işlədirlərsə, bu zəiflikdən təsirlənir. Hücumçu, qurbanı zərərli veb sayta yönləndirməklə və onu OIDC axını boyunca idarə etməklə bu zəiflikdən istifadə edə bilər və bu prosesdə OAuth avtorizasiya kodunu oğurlaya bilər. Daha sonra avtorizasiya kodu hücumçu tərəfindən token ilə dəyişdirilə bilər ki, bu da həmin tokeni qəbul edən tətbiqlərə giriş imkanı verir. Versiya 2.35.0-da bu problem üçün düzəliş tətbiq edilmişdir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu problem üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- linuxfoundation dex2.35.0 və ya daha yeni versiya
- github.com/dexidp/dex2.35.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation dex | v < 2.35.0 | 2.35.0 |
| github.com/dexidp/dexGo | v < 2.35.0 | 2.35.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.