CVE-2019-9733
Açıklama
JFrog Artifactory 6.7.3 sürümünde bir sorun tespit edilmiştir. Varsayılan olarak, bir yöneticinin Artifactory konsoluna erişimi engellendiğinde, admin hesabının şifresini sıfırlamak için access-admin hesabı kullanılır. Bu işlem yalnızca doğrudan localhost üzerinden gelen bağlantılarla gerçekleştirilebilir; ancak isteğe bir X-Forwarded-For HTTP başlığı eklemek, kimliği doğrulanmamış bir kullanıcının izin verilen IP adresleri beyaz listesini atlayarak access-admin hesabının varsayılan kimlik bilgileriyle giriş yapmasına olanak tanır. access-admin hesabı, admin hesabı da dahil olmak üzere tüm kullanıcılar için kimlik doğrulama belirteçleri talep etmek amacıyla Artifactory'nin API'sini kullanabilir ve sonuç olarak Artifactory tarafından yönetilen tüm artifact'ler ve depolar üzerinde tam kontrol sağlayabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jfrog artifactory | 6.7.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.