CVE-2018-11788
Açıklama
Apache Karaf, kullanıcıların bir özellikler XML dosyasını doğrudan deploy klasörüne bırakarak "sıcak dağıtım" (hot deploy) yapmasına olanak tanıyan bir özellikler dağıtıcısı sağlar. Özellikler XML dosyası, XMLInputFactory sınıfı tarafından ayrıştırılır. Apache Karaf XMLInputFactory sınıfı, XXE'ye karşı herhangi bir hafifletme kodu içermemektedir. Bu durum, 4.1.7 veya 4.2.2 öncesindeki Apache Karaf sürümlerinde bir kullanıcının harici XML varlıkları enjekte edebilmesi nedeniyle potansiyel bir güvenlik riski oluşturmaktadır. Sorun, Apache Karaf 4.1.7 ve 4.2.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- apache karaf4.1.7 ya da sonraki bir sürüm
- org.apache.karaf.specs:org.apache.karaf.specs.java.xml4.2.2, 4.1.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache karaf | v < 4.1.7, 4.2.0 ≤ v ≤ 4.2.1, 4.2.0 | 4.1.7 |
| org.apache.karaf.specs:org.apache.karaf.specs.java.xmlMaven | 4.2.0 ≤ v < 4.2.2, v < 4.1.7 | 4.2.2, 4.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.