CVE-2020-26244
Açıklama
Python oic, bir Python OpenID Connect uygulamasıdır. Python oic'in 1.2.1 sürümünden önceki versiyonlarında, kütüphaneyi kullanan istemci uygulamalarını etkileyen kriptografik ilgili birkaç sorun bulunmaktadır. Bu sorunlar şunlardır: 1) IdToken imza algoritması otomatik olarak kontrol edilmiyordu; yalnızca beklenen algoritma bir kwarg olarak iletildiğinde kontrol ediliyordu. 2) Tüm akışlarda JWA `none` algoritmasına izin veriliyordu. 3) oic.consumer.Consumer.parse_authz doğrulanmamış bir IdToken döndürüyordu. Token'ın doğrulanması uygulayıcının takdirine bırakılmıştı. 4) iat talebinin mantıksal kontrolü yapılmıyordu (yani gelecekte bir tarih olabiliyordu). Bu sorunlar 1.2.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- python_openid_connect_project python_openid_connect1.2.1 ya da sonraki bir sürüm
- oic1.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python_openid_connect_project python_openid_connect | v < 1.2.1 | 1.2.1 |
| oicPyPI | v < 1.2.1 | 1.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.