CVE-2018-1000817
Açıklama
Asset Pipeline Grails Plugin'in 2.14.1.1, 2.15.1 ve 3.0.6 sürümlerinden önceki versiyonları, Jetty üzerinde konuşlandırılan uygulamalarda .class dosyalarının ve herhangi bir rastgele dosyanın indirilmesine yol açabilen bir Hatalı Erişim Kontrolü zafiyeti içermektedir. Bu saldırının, assets-pipeline bağlamından dizin gezginliği (directory traversal) içeren özel olarak hazırlanmış bir GET isteği aracılığıyla gerçekleştirilebildiği görülmektedir. Bu zafiyetin 2.14.1.1 (Grails 2.x için), 2.15.1 (Grails 3 ve Java 7 için) ve 3.0.6 (Grails 3 ve Java 8 için) sürümlerinde giderildiği anlaşılmaktadır.
Nasıl düzeltilir
- asset_pipeline_project asset-pipeline2.14.1.1, 2.15.1, 3.0.6 ya da sonraki bir sürüm
- org.grails.plugins:asset-pipeline2.14.1, 2.15.1, 3.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| asset_pipeline_project asset-pipeline | v < 2.14.1.1, 2.14.1.1 < v < 2.15.1, 2.15.1 < v < 3.0.6 | 2.14.1.1, 2.15.1, 3.0.6 |
| org.grails.plugins:asset-pipelineMaven | v < 2.14.1, 2.15.0 ≤ v < 2.15.1, 3.0.0 ≤ v < 3.0.6 | 2.14.1, 2.15.1, 3.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.