CVE-2019-5431
Açıklama
Bu güvenlik açığı, CVE-2017-0911 için yapılan eksik bir düzeltmeden kaynaklanmıştır. iOS için Twitter Kit versiyonları 3.0 ile 3.4.0 arası, "Login with Twitter" bileşenindeki bir geri çağırma (callback) doğrulama hatasına karşı savunmasızdır ve bu durum bir saldırganın alternatif kimlik bilgileri sağlamasına olanak tanır. "Login with Twitter" kimlik doğrulamasının son adımında, kimlik doğrulama bilgileri iOS üzerinde kayıtlı özel URL şeması (genellikle twitterkit-<consumer-key>) kullanılarak uygulamaya geri gönderilir. Geri çağırma işleyicisi yanıtın gerçekliğini doğrulamadığı için bu adım sahteciliğe açıktır ve potansiyel olarak bir saldırganın bir Twitter hesabını üçüncü taraf bir hizmetle ilişkilendirmesine izin verir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| twitter twitter_kit | 3.0 ≤ v ≤ 3.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.