CVE-2018-1199
Açıklama
Spring Security (Spring Security 4.1.5 öncesi 4.1.x, 4.2.4 öncesi 4.2.x ve 5.0.1 öncesi 5.0.x; ve Spring Framework 4.3.14 öncesi 4.3.x ve 5.0.3 öncesi 5.0.x) güvenlik kısıtlamalarını işlerken URL yol parametrelerini dikkate almaz. Özel kodlamalara sahip bir URL yol parametresi ekleyerek bir saldırgan bir güvenlik kısıtlamasını atlatabilir. Bu sorunun kök nedeni, Servlet Specification'da yol parametrelerinin işlenmesine ilişkin netliğin bulunmamasıdır. Bazı Servlet kapsayıcıları getPathInfo() için döndürülen değere yol parametrelerini dahil eder, bazıları ise etmez. Spring Security, isteklerin güvenlik kısıtlamalarıyla eşleştirilmesi sürecinin bir parçası olarak getPathInfo() tarafından döndürülen değeri kullanır. Bu özel saldırıda, yol parametrelerinde kullanılan farklı karakter kodlamaları, korunan Spring MVC statik kaynak URL'lerinin atlatılmasına olanak tanır.
Nasıl düzeltilir
- vmware spring_framework4.3.14, 5.0.3 ya da sonraki bir sürüm
- vmware spring_security4.1.5, 4.2.4, 5.0.1 ya da sonraki bir sürüm
- org.springframework.security:spring-security-core4.2.4, 5.0.1, 4.1.5 ya da sonraki bir sürüm
- org.springframework:spring-core4.3.14, 5.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_framework | 4.3.0 ≤ v < 4.3.14, 5.0.0 ≤ v < 5.0.3 | 4.3.14, 5.0.3 |
| vmware spring_security | 4.1.0 ≤ v < 4.1.5, 4.2.0 ≤ v < 4.2.4, 5.0.0 ≤ v < 5.0.1 | 4.1.5, 4.2.4, 5.0.1 |
| redhat fuse | 1.0 | — |
| oracle rapid_planning | 12.1, 12.2 | — |
| oracle retail_xstore_point_of_service | 7.1 | — |
| org.springframework.security:spring-security-coreMaven | 4.2.0 ≤ v < 4.2.4, 5.0.0 ≤ v < 5.0.1, 4.1.0 ≤ v < 4.1.5 | 4.2.4, 5.0.1, 4.1.5 |
| org.springframework:spring-coreMaven | 4.3.0 ≤ v < 4.3.14, 5.0.0 ≤ v < 5.0.3 | 4.3.14, 5.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.