CVE-2020-10709
Açıklama
Bir OAuth2 uygulaması ile OAuth2 belirteci talep edilirken Ansible Tower'da bir güvenlik açığı bulundu. Ansible Tower, kimlik doğrulamayı sağlamak için bu belirteci kullanır. Bu açık, bir saldırganın süresi dolmayan bir yenileme belirteci (refresh token) elde etmesine olanak tanır. Kullanıcıya verilen orijinal belirteç hâlâ Ansible Tower'a erişim yetkisine sahiptir ve bu durum, belirtece erişebilen herhangi bir kullanıcının Ansible Tower üzerinde tam olarak kimlik doğrulaması yapabilmesine izin verir. Bu açık, 3.6.4 öncesindeki Ansible Tower sürümlerini ve 3.5.6 öncesindeki Ansible Tower sürümlerini etkilemektedir.
Nasıl düzeltilir
- redhat ansible_tower3.5.6, 3.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat ansible_tower | v < 3.5.6, 3.6.0 ≤ v < 3.6.4 | 3.5.6, 3.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.