CVE-2021-26291
Açıklama
Apache Maven, bir bağımlılığın Project Object Model (pom) dosyasında tanımlanan depoları takip eder; bu durum bazı kullanıcılar için şaşırtıcı olabilir ve kötü niyetli bir aktörün söz konusu depoyu ele geçirmesi veya kendisini o depoymuş gibi gösterebileceği bir konuma yerleşmesi durumunda potansiyel risk oluşturabilir. Maven, 3.8.1+ sürümünde varsayılan davranışı değiştirerek artık varsayılan olarak http (SSL olmayan) depo referanslarını takip etmeyecektir. Daha fazla ayrıntıya referans verilen URL'lerden ulaşılabilir. Eğer şu anda derlemeleriniz tarafından kullanılan depoları yönetmek için bir depo yöneticisi kullanıyorsanız, eski davranışta mevcut olan risklerden etkilenmezsiniz ve bu güvenlik açığından ve varsayılan davranış değişikliğinden etkilenmezsiniz. Depo yönetimi hakkında daha fazla bilgi için bu bağlantıya bakın: https://maven.apache.org/repository-management.html
Nasıl düzeltilir
- apache maven3.8.1 ya da sonraki bir sürüm
- quarkus quarkus1.13.5 ya da sonraki bir sürüm
- org.apache.maven:maven-compat3.8.1 ya da sonraki bir sürüm
- org.apache.maven:maven-core3.8.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache maven | v < 3.8.1 | 3.8.1 |
| quarkus quarkus | v < 1.13.5 | 1.13.5 |
| oracle financial_services_analytical_applications_infrastructure | 8.0.6.0.0 ≤ v ≤ 8.0.9.0.0, 8.1.0.0.0 ≤ v ≤ 8.1.2.0 | — |
| oracle goldengate_big_data_and_application_adapters | 23.1 | — |
| org.apache.maven:maven-compatMaven | v < 3.8.1 | 3.8.1 |
| org.apache.maven:maven-coreMaven | v < 3.8.1 | 3.8.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.