CVE-2024-45106
Təsvir
Apache Ozone 1.4.0-ın S3 Gateway hissəsindəki bir HTTP son nöqtəsinin yanlış autentifikasiyası, hər hansı autentifikasiya olunmuş Kerberos istifadəçisinə digər istifadəçilərin S3 gizli açarlarını ləğv etməyə və yenidən yaratmağa imkan verir. Bu yalnız aşağıdakı hallarda mümkündür: * ozone.s3g.secret.http.enabled parametri true olaraq təyin edildikdə. Bu konfiqurasiyanın standart dəyəri false-dur. * ozone.s3g.kerberos.principal parametrində konfiqurasiya edilmiş istifadəçi eyni zamanda ozone.s3.administrators və ya ozone.administrators siyahısında konfiqurasiya edilibsə. İstifadəçilərə təsirə məruz qalan son nöqtəni deaktiv edən Apache Ozone versiya 1.4.1-ə yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- org.apache.ozone:ozone1.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache ozone | 1.4.0 | — |
| org.apache.ozone:ozoneMaven | 1.4.0 ≤ v < 1.4.1 | 1.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.