Threat Investigation
Tanıtım talep edin

CVE-2020-26290

Kritik

Açıklama

Dex, Go ile yazılmış bir federasyon OpenID Connect sağlayıcısıdır. Dex'in 2.27.0 sürümünden önceki versiyonlarında, SAML konnektörünü kullanan kullanıcıları etkileyen kritik bir dizi güvenlik açığı bulunmaktadır. Bu açıklar, temel Go kütüphanesindeki XML kodlama sorunları nedeniyle potansiyel imza atlatmaya olanak tanımaktadır. Güvenlik açıkları, Mattermost'un xml-roundtrip-validator bileşeni kullanılarak 2.27.0 sürümünde giderilmiştir (ilgili referanslara bakınız).

ÖnemKritik
CVSS9.3
İstismar olasılığı—
ÜrünLinuxfoundation Dex
Yayın28 Ara 2020
İlk görülme28 Ara 2020
Zayıflık türüCWE-347CWE-347

Nasıl düzeltilir

Güncelleyin
  • linuxfoundation dex2.27.0 ya da sonraki bir sürüm
  • github.com/dexidp/dex2.27.0 ya da sonraki bir sürüm
  • github.com/russellhaering/goxmldsig1.1.0 ya da sonraki bir sürüm

Etkilenen ürünler

ÜrünEtkilenen sürümlerDüzeltildiği sürüm
linuxfoundation dexv < 2.27.02.27.0
github.com/dexidp/dexGov < 2.27.02.27.0
github.com/russellhaering/goxmldsigGov < 1.1.01.1.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.