CVE-2024-41667
Təsvir
OpenAM açıq giriş idarəetmə həllidir. 15.0.3 və daha əvvəlki versiyalarda, RealmOAuth2ProviderSettings.java faylındakı `getCustomLoginUrlTemplate` metodu istifadəçi girişindən istifadə etdiyi üçün şablon inyeksiyasına (template injection) qarşı həssasdır. Tərtibatçı standart OpenAM girişini əvəz etmək üçün giriş prosesinin idarə edilməsi məqsədində xüsusi URL tətbiq etməyi nəzərdə tutsa da, `CustomLoginUrlTemplate`-i məhdudlaşdırmamış və onun sərbəst şəkildə təyin edilməsinə şərait yaratmışdır. fcb8432aa77d5b2e147624fe954cb150c568e0b8 commit-i FreeMarker şablon inyeksiyasında tez-tez istismar edilən siniflərin həllini deaktiv etmək üçün `TemplateClassResolver.SAFER_RESOLVER`-i tətbiq edir. Nəşr edildiyi tarixə etibarən bu düzəlişin 15.0.4 versiyasının tərkibinə daxil edilməsi gözlənilir.
Necə düzəltmək olar
- org.openidentityplatform.openam:openam-oauth215.0.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.openidentityplatform.openam:openam-oauth2Maven | v < 15.0.4 | 15.0.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.