CVE-2020-15222
Açıklama
ORY Fosite'in (Go için güvenlik öncelikli OAuth2 ve OpenID Connect çerçevesi) 0.31.0 sürümünden önceki versiyonlarında, "private_key_jwt" kimlik doğrulaması kullanıldığında `jti` değerinin benzersizliği kontrol edilmemektedir. "private_key_jwt" istemci kimlik doğrulama yöntemi kullanıldığında, OpenId spesifikasyonu assertion `jti` hakkında şunları belirtir: "Token'ın yeniden kullanımını önlemek için kullanılabilecek benzersiz bir tanımlayıcıdır. Taraflar arasında yeniden kullanım koşulları müzakere edilmediği sürece bu token'lar yalnızca bir kez kullanılmalıdır". Hydra'nın bu `jti` değerinin benzersizliğini kontrol etmediği görülmektedir. Bu sorun 0.31.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- ory fosite0.31.0 ya da sonraki bir sürüm
- github.com/ory/fosite0.31.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ory fosite | v < 0.31.0 | 0.31.0 |
| github.com/ory/fositeGo | v < 0.31.0 | 0.31.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.