CVE-2018-11787
Açıklama
Apache Karaf'ın 3.0.9, 4.0.9 ve 4.1.1 öncesi sürümlerinde, webconsole özelliği Karaf'a yüklendiğinde .../system/console adresinde erişilebilir durumdadır ve erişim için kimlik doğrulama gerektirir. Konsolun bir bölümü, bir Web tarayıcısı üzerinden Karaf komut satırı konsoluna erişim sağlayan Gogo shell/konsoludur ve yönlendirildiğinde .../system/console/gogo adresinde bulunur. Doğrudan bu URL'ye gitmeye çalışmak kimlik doğrulama gerektirmektedir. Bazı uygulamaların kullandığı isteğe bağlı bir paket olan Pax Web Extender Whiteboard, pax-war özelliğinin ve muhtemelen diğerlerinin bir parçasıdır. Yüklendiğinde, Gogo konsolu başka bir URL olan .../gogo/ adresinde erişilebilir hale gelir ve bu URL güvenli değildir; bu da kimliği doğrulanmamış kullanıcıların Karaf konsoluna erişmesine neden olur. Sorun için bir hafifletme yöntemi, webconsole özelliği ile birlikte yüklenen Gogo eklenti paketini manuel olarak durdurmak/kaldırmaktır; ancak bu işlem konsolu sadece kimlik doğrulaması gerektirmeyen uç noktadan değil, aynı zamanda .../system/console uygulamasından da kaldırır. Ayrıca Pax Web Extender Whiteboard durdurulabilir veya kaldırılabilir, fakat diğer bileşenler/uygulamalar buna ihtiyaç duyabilir ve bu nedenle işlevsellikleri azalabilir veya zarar görebilir.
Nasıl düzeltilir
- apache karaf3.0.9, 4.0.9, 4.1.1 ya da sonraki bir sürüm
- org.apache.karaf:apache-karaf3.0.9, 4.0.9, 4.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache karaf | v < 3.0.9, 4.0.0 ≤ v < 4.0.9, 4.1.0 ≤ v < 4.1.1, 4.0.0 | 3.0.9, 4.0.9, 4.1.1 |
| org.apache.karaf:apache-karafMaven | v < 3.0.9, 4.0.0 ≤ v < 4.0.9, 4.1.0 ≤ v < 4.1.1 | 3.0.9, 4.0.9, 4.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.