CVE-2016-3084
Yüksek
Açıklama
Cloud Foundry sürüm v236 ve önceki sürümler, UAA sürüm v3.3.0 ve önceki sürümler, Login-server'ın tüm sürümleri, UAA sürüm v10 ve önceki sürümler ile Pivotal Elastic Runtime 1.7.2 öncesi sürümlerdeki UAA şifre sıfırlama akışı, belirli bir zamanda birden fazla aktif kod bulunabilmesi nedeniyle kaba kuvvet (brute force) saldırısına karşı savunmasızdır. Bu güvenlik açığı yalnızca kimlik doğrulama için UAA dahili kullanıcı deposu kullanıldığında geçerlidir. SAML veya LDAP üzerinden entegrasyonu etkinleştirilmiş dağıtımlar etkilenmemektedir.
ÖnemYüksek
CVSS8.1
İstismar olasılığı—
ÜrünCloudfoundry Cloud Foundry Uaa Bosh
Yayın25 May 2017
İlk görülme25 May 2017
Nasıl düzeltilir
Güncelleyin
- org.cloudfoundry.identity:cloudfoundry-identity-server3.3.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cloudfoundry cloud_foundry_uaa_bosh | v ≤ 10 | — |
| pivotal_software cloud_foundry | v ≤ 236 | — |
| pivotal_software cloud_foundry_elastic_runtime | v ≤ 1.7.1 | — |
| pivotal_software cloud_foundry_uaa | v ≤ 3.3.0 | — |
| pivotal_software login-server | Aralık belirtilmemiş | — |
| org.cloudfoundry.identity:cloudfoundry-identity-serverMaven | v < 3.3.0.1 | 3.3.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.