CVE-2023-39522
Təsvir
goauthentik açıq mənbəli Kimlik Provayderidir. İdentifikasiya mərhələsi olan bərpa axınından istifadə edən təsirlənmiş versiyalarda hücumçu istifadəçi adının mövcud olub-olmadığını müəyyən edə bilir. Buna yalnız bərpa axını ilə konfiqurasiya edilmiş sistemlər təsir olunur. Yuxarıda təsvir edilən bərpa axınına malik sistemdə istifadəçi hesabı olan hər kəsin istifadəçi adı/e-poçtu mövcudluğunu aşkar etmək mümkündür. İstifadəçi mövcud olmadıqda aydın mesaj göstərildiyi üçün hücumçu bərpa axınından istifadə edərək istifadəçiləri asanlıqla sadalay və onların mövcudluğunu yoxlaya bilər. Konfiqurasiyadan asılı olaraq bu, istifadəçi adı, e-poçt və ya hər ikisi vasitəsilə həyata keçirilə bilər. Bu problem 2023.5.6 və 2023.6.2 versiyalarında aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu problem üçün məlum alternativ həll yolu yoxdur.
Necə düzəltmək olar
- goauthentik authentik2023.5.6, 2023.6.2 və ya daha yeni versiya
- @goauthentik/api2023.6.2, 2023.5.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| goauthentik authentik | v < 2023.5.6, 2023.6.0 ≤ v < 2023.6.2 | 2023.5.6, 2023.6.2 |
| @goauthentik/apinpm | 2023.6.0 ≤ v < 2023.6.2, v < 2023.5.6 | 2023.6.2, 2023.5.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.