CVE-2023-28640
Təsvir
Apiman çevik və açıq mənbəli API İdarəetmə platformasıdır. İcazələrin yoxlanılmasının olmaması səbəbindən autentifikasiyadan keçmiş Apiman Manager hesabına malik hücumçu, hədəflənən icazəsiz resursun Təşkilat ID-si, Müştəri ID-si və Müştəri Versiyasını ehtiva edən URL-i düzgün təxmin edərsə, icazəsi olmayan API açarlarına çıxış əldə edə bilər. İstismar etmək asan olmasa da, kobud güc tətbiqi və ya ümumi adların təxmin edilməsi ilə buna nail olmaq mümkündür. İcazəsiz API açarlarına çıxış digər istifadəçilərin resurslarından onların icazəsi olmadan istifadə etməyə imkan verə bilər (konfiqurasiyanın xüsusiyyətlərindən asılı olaraq, məsələn, API açarının yeganə təhlükəsizlik forması olub-olmamasından). Apiman 3.1.0.Final bu problemi həll etmişdir. İstifadəçilərə yeniləmə tövsiyə olunur. Yeganə məlum müvəqqəti həll hesaba çıxışın məhdudlaşdırılmasıdır.
Necə düzəltmək olar
- io.apiman:apiman-manager-api-rest-impl3.1.0.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apiman apiman | 3.0.0 | — |
| io.apiman:apiman-manager-api-rest-implMaven | v < 3.1.0.Final | 3.1.0.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.