CVE-2020-15233
Açıklama
ORY Fosite, Go için güvenlik öncelikli bir OAuth2 ve OpenID Connect çerçevesidir. Fosite'in 0.30.2 sürümünden 0.34.1 sürümü öncesine kadar olan versiyonlarında, bir saldırganın bir OAuth akışı gerçekleştirerek loopback adaptörüne yönelik bir yönlendirme URL'si talep etmesi yoluyla kayıtlı yönlendirme URL'sini geçersiz kılabildiği bir sorun bulunmaktadır. Saldırganlar, loopback yönlendirme URL'lerine hem özel URL sorgu parametreleri sağlayabilir hem de kayıtlı yönlendirme URL'sinin ana bilgisayarını (host) gerçekten geçersiz kılabilirler. Bu saldırılar yalnızca saldırganın loopback arayüzü üzerinde erişime sahip olduğu senaryolarda uygulanabilirdir. Bu güvenlik açığı ORY Fosite v0.34.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- ory fosite0.34.1 ya da sonraki bir sürüm
- github.com/ory/fosite0.34.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ory fosite | 0.30.2 ≤ v < 0.34.1 | 0.34.1 |
| github.com/ory/fositeGo | 0.30.3 ≤ v < 0.34.1 | 0.34.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.