CVE-2020-1745
Açıklama
Undertow sürüm 2.0.29.Final ve öncesinde, varsayılan 8009 AJP yapılandırma portu ile etkinleştirilen AJP konnektöründe bir dosya dahil etme (file inclusion) zafiyeti tespit edilmiş ve bu durum 2.0.30.Final sürümünde giderilmiştir. Uzaktaki kimliği doğrulanmamış bir saldırgan, bu zafiyeti kullanarak savunmasız bir sunucudaki web uygulaması dosyalarını okuyabilir. Savunmasız sunucunun dosya yüklemeye izin verdiği durumlarda, bir saldırgan çeşitli dosya türleri içinde kötü amaçlı JavaServer Pages (JSP) kodu yükleyebilir ve uzaktan kod çalıştırma sağlamak için bu zafiyeti tetikleyebilir.
Nasıl düzeltilir
- io.undertow:undertow-core2.0.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat undertow | v ≤ 2.0.29 | — |
| io.undertow:undertow-coreMaven | v < 2.0.30 | 2.0.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.