CVE-2018-8023
Açıklama
Apache Mesos, Executor HTTP API'sini çağırmak için JSON Web Token (JWT) kullanarak kimlik doğrulaması gerektirecek şekilde yapılandırılabilir. Apache Mesos 1.4.2 öncesi, 1.5.0, 1.5.1 ve 1.6.0 sürümlerinde, kullanılan JWT uygulamasındaki oluşturulan HMAC değerinin sağlanan imza ile karşılaştırılması işlemi bir zamanlama saldırısına (timing attack) karşı savunmasızdır; çünkü sabit zamanlı bir dize karşılaştırma rutini yerine standart `==` operatörü kullanılmıştır. Bu nedenle kötü niyetli bir aktör, doğru HMAC değerini ortaya çıkarmak için JWT doğrulama fonksiyonunun döndüğü zamandaki farkı suistimal edebilir.
Nasıl düzeltilir
- apache mesos1.4.2 ya da sonraki bir sürüm
- org.apache.mesos:mesos1.4.2, 1.5.2, 1.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache mesos | v < 1.4.2, 1.5.0, 1.5.1, 1.6.0 | 1.4.2 |
| org.apache.mesos:mesosMaven | v < 1.4.2, 1.5.0 ≤ v < 1.5.2, 1.6.0 ≤ v < 1.6.1 | 1.4.2, 1.5.2, 1.6.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.