CVE-2024-21643
Təsvir
.NET üçün IdentityModel Extensions, çağıranın kimliyini müəyyən etmək üçün federativ kimlik provayderlərindən istifadə etmək istəyən veb tərtibatçıları üçün assembly-lər təmin edir. `SignedHttpRequest` protokolundan və ya `SignedHttpRequestValidator`-dan istifadə edən hər kəs risk altındadır. Microsoft.IdentityModel standart olaraq `SignedHttpRequest` protokolu üçün `jku` iddiasına (claim) etibar edir. Bu, hər hansı uzaq və ya lokal `HTTP GET` sorğusunun göndərilməsi ehtimalını yaradır. Zəiflik Microsoft.IdentityModel.Protocols.SignedHttpRequest kitabxanasında aradan qaldırılıb. İstifadəçilər bütün Microsoft.IdentityModel versiyalarını 7.1.2 (7x üçün) və ya daha yüksəyinə, 6.34.0 (6x üçün) və ya daha yüksəyinə yeniləməlidir.
Necə düzəltmək olar
- microsoft identitymodel_extensions6.34.0, 7.1.2 və ya daha yeni versiya
- Microsoft.IdentityModel.Protocols.SignedHttpRequest6.34.0, 7.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microsoft identitymodel_extensions | v < 6.34.0, 7.0.0 ≤ v < 7.1.2 | 6.34.0, 7.1.2 |
| Microsoft.IdentityModel.Protocols.SignedHttpRequestNuGet | v < 6.34.0, 7.0.0-preview ≤ v < 7.1.2 | 6.34.0, 7.1.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.