CVE-2019-3875
Açıklama
keycloak 6.0.2 öncesi sürümlerde bir güvenlik açığı bulundu. X.509 kimlik doğrulayıcısı, istemci sertifikalarının CRL aracılığıyla doğrulanmasını desteklemektedir; burada CRL listesi, sertifikanın kendisinde sağlanan URL (CDP) üzerinden veya ayrı olarak yapılandırılmış yol aracılığıyla elde edilebilir. CRL'ler genellikle ağ üzerinden güvenli olmayan protokollerle ('http' veya 'ldap') sunulur ve bu nedenle çağrıyı yapan tarafın imzayı ve muhtemelen sertifika yolunu doğrulaması gerekir. Keycloak şu anda CRL üzerindeki imzaları doğrulamamaktadır, bu durum ortadaki adam (man-in-the-middle) gibi çeşitli saldırıların gerçekleşme olasılığına yol açabilir.
Nasıl düzeltilir
- redhat keycloak6.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat keycloak | v < 6.0.2 | 6.0.2 |
| redhat single_sign-on | 7.3 | — |
| org.keycloak:keycloak-coreMaven | v ≤ 6.0.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.