CVE-2024-47197
Təsvir
Maven Archetype Plugin-də həssas məlumatların icazəsiz subyektə ifşası və həssas məlumatların təhlükəsiz olmayan saxlanması zəifliyi. Bu problem Maven Archetype Plugin-ə təsir edir: 3.2.1-dən 3.3.0-dan əvvəl. İstifadəçilərə problemi aradan qaldıran 3.3.0 versiyasına yüksəltmə tövsiyə olunur. Archetype inteqrasiya testi ./target/classes/archetype-it/archetype-settings.xml adlı fayl yaradır. Bu fayl istifadəçinin ~/.m2/settings.xml faylının bütün məzmununu ehtiva edir ki, bu da çox vaxt onların dərc etmək istəmədikləri məlumatları saxlayır. Güman edirik ki, bir çox developer maşınında bu fayl həm də autentifikasiya məlumatlarını ehtiva edir. İstifadəçi yenidən mvn verify əmrini işə saldıqda (mvn clean olmadan), bu fayl yekun artefaktın bir hissəsinə çevrilir. Əgər developer bunu Maven Central-a və ya hər hansı digər uzaq repozitoriyaya dərc etsəydi (reliz və ya snapshot kimi), onların autentifikasiya məlumatları özlərinin xəbəri olmadan dərc olunardı.
Necə düzəltmək olar
- org.apache.maven.plugins:maven-archetype-plugin3.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache maven_archetype | 3.2.1 | — |
| org.apache.maven.plugins:maven-archetype-pluginMaven | 3.2.1 ≤ v < 3.3.0 | 3.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.