CVE-2020-37281
Açıklama
4.12.22 sürümü dahil Gravitee API Management, kimlik doğrulanmamış uzak saldırganların beraberinde gelen varsayılan jwt.secret ile imzalanmış JWT'ler oluşturarak herhangi bir kullanıcı taklidi yapmasına olanak tanıyan bir kimlik doğrulama atlatma zafiyeti içermektedir. Mevcut bir kullanıcı kimliğini bilen saldırganlar, söz konusu konuyla bir HS256 belirteci imzalayabilir ve bunu Management API'ye taşıyıcı belirteç (bearer token) olarak sunarak yöneticilerin taklidini yapabilir ve platform üzerinde tam kontrol sağlayabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Gravitee Gravitee API Management | v ≤ 4.12.22 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.