CVE-2024-22234
Təsvir
Spring Security-də 6.1.7-dən əvvəlki 6.1.x versiyaları və 6.2.2-dən əvvəlki 6.2.x versiyaları, tətbiq AuthenticationTrustResolver.isFullyAuthenticated(Authentication) metodunu birbaşa istifadə etdikdə pozulmuş giriş nəzarəti (broken access control) zəifliyinə məruz qalır. Xüsusilə, tətbiq aşağıdakı halda zəifliyə məruz qalır: * Tətbiq AuthenticationTrustResolver.isFullyAuthenticated(Authentication) metodunu birbaşa istifadə edir və ona null authentication parametri ötürülür, nəticədə səhv true dəyəri qaytarılır. Tətbiq aşağıdakı hallardan hər hansı biri doğru olduqda zəifliyə məruz qalmır: * Tətbiq AuthenticationTrustResolver.isFullyAuthenticated(Authentication) metodunu birbaşa istifadə etmir. * Tətbiq AuthenticationTrustResolver.isFullyAuthenticated metoduna null ötürmür. * Tətbiq isFullyAuthenticated metodunu yalnız Method Security https://docs.spring.io/spring-security/reference/servlet/authorization/method-security.html və ya HTTP Request Security https://docs.spring.io/spring-security/reference/servlet/authorization/authorize-http-requests.html vasitəsilə istifadə edir.
Necə düzəltmək olar
- vmware spring_security6.1.7, 6.2.2 və ya daha yeni versiya
- org.springframework.security:spring-security-core6.1.7, 6.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vmware spring_security | 6.1.0 ≤ v < 6.1.7, 6.2.0 ≤ v < 6.2.2 | 6.1.7, 6.2.2 |
| org.springframework.security:spring-security-coreMaven | 6.1.0 ≤ v < 6.1.7, 6.2.0 ≤ v < 6.2.2 | 6.1.7, 6.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.