CVE-2024-49755
Təsvir
Duende IdentityServer, ASP.NET Core üçün OpenID Connect və OAuth 2.x freymvorkudur. IdentityServer-in lokal API autentifikasiya handler-i DPoP giriş tokenlərindəki cnf iddialarının (claim) kifayət qədər yoxlanılmasını həyata keçirmir. Bu, hücumçuya sızdırılmış DPoP giriş tokenlərini, sübut tokenlərinin imzalanması üçün şəxsi açara sahib olmadan belə, lokal API son nöqtələrində istifadə etməyə imkan verir. Qeyd edək ki, bu, yalnız IdentityServer tətbiqi daxilində autentifikasiya üçün açıq şəkildə LocalApiAuthenticationHandler-dən istifadə etmiş xüsusi son nöqtələrə təsir göstərir. Bu zəiflik IdentityServer 7.0.8 versiyasında aradan qaldırılıb. Versiya 6.3 və daha aşağı versiyalar Lokal API-lərdə DPoP-ni dəstəkləmədiyi üçün təsirlənmir.
Necə düzəltmək olar
- Duende.IdentityServer7.0.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Duende.IdentityServerNuGet | 7.0.0 ≤ v < 7.0.8 | 7.0.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.