CVE-2026-39852
Təsvir
Quarkus bulud yerli tətbiqlər yaratmaq üçün nəzərdə tutulmuş Java freymvorkudur. 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 və 3.35.2 versiyalarından əvvəlki versiyalarda təhlükəsizlik layı ilə marşrutlaşdırma (routing) layı arasındakı yol normalizasiyası uyğunsuzluğu autentifikasiya olunmamış və ya aşağı imtiyazlı istifadəçilərə HTTP yolu əsaslı avtorizasiya siyasətlərindən yan keçməyə imkan verir. Quarkus-un təhlükəsizlik layı matris parametrlərini (nöqtəli vergülləri) saxlayan xam URL yolu üzərində avtorizasiya yoxlamaları həyata keçirir, RESTEasy Reactive-nin marşrutlaşdırma layı isə son nöqtələri (endpoints) uyğunlaşdırmazdan əvvəl matris parametrlərini silir. Hücumçu sorğu URL-nə nöqtəli vergül və ixtiyari mətn əlavə edərək (məsələn, /api/admin;anything) həm /api/admin-i qoruyan siyasətlərdən yan keçə, həm də qorunan son nöqtəyə yönləndirməni təmin edə bilər. Bu problem 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 və 3.35.2 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- quarkus quarkus3.20.6.1, 3.27.3.1, 3.33.1.1, 3.34.7, 3.35.2 və ya daha yeni versiya
- io.quarkus:quarkus-vertx-http3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| quarkus quarkus | v < 3.20.6.1, 3.21.0 ≤ v < 3.27.3.1, 3.28.0 ≤ v < 3.33.1.1, 3.34.0 ≤ v < 3.34.7, 3.35.0 ≤ v < 3.35.2 | 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.34.7, 3.35.2 |
| io.quarkus:quarkus-vertx-httpMaven | v < 3.20.6.1, 3.21.0 ≤ v < 3.27.3.1, 3.30.0 ≤ v < 3.33.1.1, 3.34.0 ≤ v < 3.35.1.1 | 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.