CVE-2023-25581
Təsvir
pac4j Java üçün təhlükəsizlik freymvorkudur. `pac4j-core`-un 4.0.0 versiyasından əvvəlki versiyaları Java deserializasiya zəifliyindən təsirlənir. Bu zəiflik, kənardan idarə olunan dəyərləri pac4j-core-un `UserProfile` sinfinin atributlarında saxlayan sistemlərə təsir edir. Zəiflikdən istifadə etmək üçün `{#sb64}` xüsusi prefiksi və Base64 kodlaşdırılması olan seriyalaşdırılmış Java obyektini ehtiva edən atribut təqdim edilə bilər. Ən pis halda bu problem uzaqdan kodun icrasına (RCE) səbəb ola bilər. Hansı siniflərin deserializasiya edilə biləcəyinə müəyyən məhdudiyyətlər qoyan `RestrictedObjectInputStream` tətbiq olunsa da, o hələ də geniş çeşiddə Java paketlərinə icazə verir və fərqli gadget chain-lər vasitəsilə istismar edilə bilər. pac4j-un 4.0.0 və daha yuxarı versiyaları bu problemdən təsirlənmir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum alternativ həll yolları yoxdur.
Necə düzəltmək olar
- org.pac4j:pac4j-core4.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.pac4j:pac4j-coreMaven | v < 4.0.0 | 4.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.