CVE-2019-12419
Kritik
Açıklama
3.3.4 ve 3.2.11 sürümlerinden önceki Apache CXF, tam kapsamlı bir OpenId Connect hizmeti oluşturmak için gereken tüm bileşenleri sağlar. Erişim belirteci (access token) hizmetlerinde, kimliği doğrulanmış asilin (principal), istekteki sağlanan clientId parametresi ile aynı olup olmadığını doğrulamayan bir güvenlik açığı bulunmaktadır. Kötü niyetli bir istemci, başka bir istemciye verilmiş olan yetkilendirme kodunu bir şekilde çalabilirse, diğer istemci adına erişim belirteci elde etmek için bu güvenlik açığını istismar edebilir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
Ürün
Apache Cxf
Yayın6 Kas 2019
İlk görülme6 Kas 2019
Nasıl düzeltilir
Güncelleyin
- apache cxf3.2.11, 3.3.4 ya da sonraki bir sürüm
- org.apache.cxf:cxf3.2.11, 3.3.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cxf | 3.2.0 ≤ v < 3.2.11, 3.3.0 ≤ v < 3.3.4 | 3.2.11, 3.3.4 |
| oracle commerce_guided_search | 11.3.2 | — |
| oracle enterprise_manager_base_platform | 13.2.1.0 | — |
| oracle flexcube_private_banking | 12.0.0, 12.1.0 | — |
| oracle retail_order_broker | 15.0 | — |
| org.apache.cxf:cxfMaven | v < 3.2.11, 3.3.0 ≤ v < 3.3.4 | 3.2.11, 3.3.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.