CVE-2019-12423
Açıklama
Apache CXF, bir istemcinin JWK formatındaki genel anahtarları elde etmesine olanak tanıyan ve ardından bu anahtarların servis tarafından düzenlenen tokenların imzasını doğrulamak için kullanılabildiği bir OpenId Connect JWK Keys servisi ile birlikte gelir. Tipik olarak servis; keystore yolunu ve keystore girişinin takma adını (alias) belirterek genel anahtarı yerel bir keystore'dan (JKS/PKCS12) alır. Bu durum savunmasız değildir. Ancak, "rs.security.keystore.type" yapılandırma parametresini "jwk" olarak ayarlayarak anahtarları bir JWK keystore dosyasından almak da mümkündür. Bu durumda, tüm özel anahtar ve gizli anahtar kimlik bilgileri dahil olmak üzere bu dosyadaki tüm anahtarlar "olduğu gibi" döndürülür. Kullanıcının imza keystore dosyasını özel veya gizli anahtar kimlik bilgileriyle yapılandırmış olması durumunda bu açık bir güvenlik riskidir. CXF 3.3.5 ve 3.2.12 sürümlerinden itibaren, JWK dosyasındaki anahtarın kimliğine karşılık gelen bir takma ad belirtmek zorunludur ve yalnızca bu anahtar döndürülür. Ek olarak, herhangi bir özel anahtar bilgisi varsayılan olarak hariç tutulur. Gizli anahtarlar içeren "oct" anahtarları ise hiçbir şekilde döndürülmez.
Nasıl düzeltilir
- apache cxf3.2.12, 3.3.5 ya da sonraki bir sürüm
- org.apache.cxf:apache-cxf3.2.12, 3.3.5 ya da sonraki bir sürüm
- org.apache.cxf:cxf3.2.12, 3.3.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cxf | v < 3.2.12, 3.3.0 ≤ v < 3.3.5 | 3.2.12, 3.3.5 |
| oracle commerce_guided_search | 11.3.2 | — |
| oracle communications_diameter_signaling_router | 8.0.0 ≤ v ≤ 8.2.2 | — |
| oracle communications_element_manager | 8.2.0 ≤ v ≤ 8.2.2 | — |
| oracle communications_session_report_manager | 8.2.0 ≤ v ≤ 8.2.2 | — |
| oracle communications_session_route_manager | 8.1.1, 8.2.0, 8.2.1 | — |
| oracle flexcube_private_banking | 12.0.0, 12.1.0 | — |
| oracle retail_order_broker | 15.0 | — |
| org.apache.cxf:apache-cxfMaven | v < 3.2.12, 3.3.0 ≤ v < 3.3.5 | 3.2.12, 3.3.5 |
| org.apache.cxf:cxfMaven | v < 3.2.12, 3.3.0 ≤ v < 3.3.5 | 3.2.12, 3.3.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.