CVE-2022-39366
Təsvir
DataHub açıq mənbəli metadata platformasıdır. Versiya 0.8.45-dən əvvəl DataHub metadata xidmətinin (GMS) `StatelessTokenService` komponenti JWT tokenlərinin imzasını yoxlamır. Bu, Metadata Xidmətinin autentifikasiyası aktiv olduqda hücumçunun hər hansı istifadəçi kimi DataHub instansiyalarına qoşulmasına şərait yaradır. Bu zəiflik, Metadata xidmətinin `StatelessTokenService` komponentinin kriptoqrafik token imzasının yoxlanmasını həyata keçirməyən `io.jsonwebtoken.JwtParser`-in `parse` metodundan istifadə etməsi səbəbindən baş verir. Bu o deməkdir ki, istifadə olunan alqoritmdən asılı olmayaraq JWT-lər qəbul edilir. Bu problem autentifikasiyadan yan keçməyə səbəb ola bilər. Versiya 0.8.45 bu problem üçün düzəliş ehtiva edir. Məlum olan alternativ həll yolu yoxdur.
Necə düzəltmək olar
- datahub datahub0.8.45 və ya daha yeni versiya
- acryl-datahub0.8.45 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| datahub datahub | v < 0.8.45 | 0.8.45 |
| acryl-datahubPyPI | v < 0.8.45 | 0.8.45 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.