CVE-2025-22149
Təsvir
JWK Set (JSON Web Key Set), JWK və JWK Set-in Go implementasiyasıdır. Versiya 0.6.0-dan əvvəl, layihənin təmin etdiyi HTTP klientinin lokal JWK Set keşini, goroutine uzaqdakı JWK Set-i yenilədikdə tamamilə əvəz etməli idi. Mövcud davranış isə məlumatın üzərinə yazmaq və ya əlavə etməkdir. Bu, təmin edilən avtomatik keşləmə xüsusiyyətli HTTP klientindən istifadə edən və JWK Set-dən açarın silinməsini ləğv etmə ilə eyni hesab edən istifadə ssenariləri üçün təhlükəsizlik problemidir. Təsirə məruz qalan avtomatik keşləmə xüsusiyyətli HTTP klienti v0.5.0 versiyasında əlavə edilmiş və v0.6.0 versiyasında düzəldilmişdir. Yeganə alternativ həll yolu təmin edilən avtomatik keşləmə xüsusiyyətli HTTP klientini çıxarmaq və onu fərdi implementasiya ilə əvəz etməkdir. Bu, HTTPClientStorageOptions.RefreshInterval dəyərinin sıfıra təyin edilməsini (və ya dəyərin göstərilməməsini) tələb edir.
Necə düzəltmək olar
- github.com/MicahParks/jwkset0.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/MicahParks/jwksetGo | 0.5.0 ≤ v < 0.6.0 | 0.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.