CVE-2021-21291
Açıklama
OAuth2 Proxy; hesapları e-posta, alan adı veya gruba göre doğrulamak için Sağlayıcılar (Google, GitHub ve diğerleri) kullanarak kimlik doğrulama sağlayan açık kaynaklı bir ters proxy ve statik dosya sunucusudur. 7.0.0 sürümü öncesindeki OAuth2 Proxy'de, beyaz liste alan adı özelliğini kullanan kullanıcılar için, hedeflenen alan adına benzer şekilde biten bir alan adının yönlendirme olarak kabul edilmesi mümkündü. Örneğin, bir beyaz liste alan adı ".example.com" şeklinde yapılandırılmışsa, amaç example.com alt alan adlarına izin vermektir. Ancak bunun yerine, "example.com" ve "badexample.com" da eşleşebiliyordu. Bu durum 7.0.0 ve sonraki sürümlerde düzeltilmiştir. Geçici bir çözüm olarak, beyaz liste alan adı özelliği devre dışı bırakılabilir ve her alt alan adı için ayrı OAuth2 Proxy örnekleri çalıştırılabilir.
Nasıl düzeltilir
- oauth2_proxy_project oauth2_proxy7.0.0 ya da sonraki bir sürüm
- github.com/oauth2-proxy/oauth2-proxy/v77.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oauth2_proxy_project oauth2_proxy | v < 7.0.0 | 7.0.0 |
| github.com/oauth2-proxy/oauth2-proxy/v7Go | v < 7.0.0 | 7.0.0 |
| github.com/oauth2-proxy/oauth2-proxyGo | v ≤ 3.2.0, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.