CVE-2015-9287
Açıklama
University of Cambridge mod_ucam_webauth 2.0.2 sürümünden önceki sürümlerde Directory Traversal zafiyeti keşfedilmiştir. IdP'nin HTTP yanıt mesajındaki ("WLS-Response") ana tanımlama alanı ("kid"), bir saldırgan tarafından manipüle edilebilir. "kid" alanı, mesajın geri kalanı gibi imzalanmamıştır ve bu nedenle manipülasyonu oldukça kolaydır. "kid" alanı yalnızca bir tam sayıyı temsil etmelidir; ancak herhangi bir dize değerinin sağlanması mümkündür. Bir saldırgan, bunu uygulama ajanını, mesaj bütünlük kontrolü için gerekli olan RSA genel anahtarını istenmeyen bir konumdan yüklemeye zorlamak amacıyla kendi lehine kullanabilir.
Nasıl düzeltilir
- cam the_university_of_cambridge_web_authentication_system_apache_authentication_agent2.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cam the_university_of_cambridge_web_authentication_system_apache_authentication_agent | v < 2.0.2 | 2.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.