CVE-2022-39351
Təsvir
Dependency-Track təşkilatlara proqram təminatı tədarük zəncirindəki riskləri müəyyən etməyə və azaltmağa imkan verən Komponent Analizi platformasıdır. Versiya 4.6.0-dan əvvəl, kifayət qədər icazələri olmayan düzgün API açarı ilə API sorğusunun yerinə yetirilməsi, həmin API açarının Dependency-Track-in audit loquna açıq mətn formatında yazılmasına səbəb olur. Audit loquna giriş imkanı olan şəxslər bu boşluqdan istifadə edərək düzgün API açarlarını əldə edə bilərlər. Problem Dependency-Track 4.6.0 versiyasında aradan qaldırılmışdır. Bütün API açarını loqlamaq əvəzinə, artıq yalnız açarın son 4 simvolu loqlanacaqdır. Tarixi loqların bu davranışın hallarını yoxlamağı və sızma baş verdiyi təqdirdə API açarlarının yenidən yaradılmasını şiddətlə tövsiyə edirik.
Necə düzəltmək olar
- owasp dependency-track4.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owasp dependency-track | v < 4.6.0 | 4.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.