CVE-2018-1273
Açıklama
Spring Data Commons'ın 1.13 ile 1.13.10, 2.0 ile 2.0.5 arasındaki sürümleri ve desteklenmeyen daha eski sürümleri, özel öğelerin uygun şekilde etkisiz hale getirilmemesinden kaynaklanan bir özellik bağlayıcı (property binder) zafiyeti içermektedir. Kimliği doğrulanmamış uzak kötü niyetli bir kullanıcı (veya saldırgan), Spring Data REST tabanlı HTTP kaynaklarına karşı veya Spring Data'nın projeksiyon tabanlı istek yükü bağlamasını kullanarak özel olarak hazırlanmış istek parametreleri gönderebilir ve bu durum uzaktan kod çalıştırma saldırısına yol açabilir.
Nasıl düzeltilir
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 15 Nis 2022- org.springframework.data:spring-data-commons1.13.11, 2.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| broadcom spring_data_commons | v ≤ 1.12.10, 1.13.0 ≤ v ≤ 1.13.10, 2.0.0 ≤ v ≤ 2.0.5 | — |
| pivotal_software spring_data_rest | 3.0.0 ≤ v ≤ 3.0.5 | — |
| vmware spring_data_rest | v ≤ 2.5.10, 2.6.0 ≤ v ≤ 2.6.10 | — |
| apache ignite | 1.0.1 ≤ v ≤ 2.5.0, 1.0.0 | — |
| oracle financial_services_crime_and_compliance_management_studio | 8.0.8.2.0, 8.0.8.3.0 | — |
| org.springframework.data:spring-data-commonsMaven | 1.13.0 ≤ v < 1.13.11, 2.0.0 ≤ v < 2.0.6 | 1.13.11, 2.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.