CVE-2019-11272
Yüksek
Açıklama
Spring Security'nin 4.2.x ile 4.2.12 arasındaki sürümleri ve desteklenmeyen daha eski sürümleri, PlaintextPasswordEncoder kullanarak düz metin parolaları desteklemektedir. Etkilenen bir Spring Security sürümünü kullanan bir uygulama PlaintextPasswordEncoder kullanıyorsa ve bir kullanıcının kodlanmış parolası null ise, kötü niyetli bir kullanıcı (veya saldırgan), "null" parolasını kullanarak kimlik doğrulaması gerçekleştirebilir.
ÖnemYüksek
CVSS7.3
İstismar olasılığı—
Ürün
Vmware Spring Security
Yayın26 Haz 2019
İlk görülme26 Haz 2019
Zayıflık türüCWE-287Hatalı kimlik doğrulama
Nasıl düzeltilir
Güncelleyin
- vmware spring_security4.2.13 ya da sonraki bir sürüm
- org.springframework.security:spring-security-core4.2.13 ya da sonraki bir sürüm
- org.springframework.security:spring-security-cas4.2.13.RELEASE ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_security | v < 4.2.13 | 4.2.13 |
| debian debian_linux | 8.0 | — |
| org.springframework.security:spring-security-coreMaven | v < 4.2.13 | 4.2.13 |
| org.springframework.security:spring-security-casMaven | v < 4.2.13.RELEASE | 4.2.13.RELEASE |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.