CVE-2021-40690
Yüksek
Açıklama
Apache Santuario - XML Security for Java'nın 2.2.3 ve 2.1.7 öncesindeki tüm sürümleri, bir KeyInfoReference öğesinden KeyInfo oluşturulurken "secureValidation" özelliğinin doğru şekilde aktarılmadığı bir soruna karşı savunmasızdır. Bu durum, bir saldırganın yerel .xml dosyalarını bir RetrievalMethod öğesi içinden çıkarmak için bir XPath Transform'u kötüye kullanmasına olanak tanır.
ÖnemYüksek
CVSS7.5
İstismar olasılığı—
Ürün
Apache Santuario Xml Security For Java
Yayın19 Eyl 2021
İlk görülme19 Eyl 2021
Zayıflık türüCWE-200Hassas bilginin açığa çıkması
Nasıl düzeltilir
Güncelleyin
- apache santuario_xml_security_for_java2.1.7, 2.2.3 ya da sonraki bir sürüm
- apache tomee8.0.8 ya da sonraki bir sürüm
- org.apache.santuario:xmlsec2.2.3, 2.1.7 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache santuario_xml_security_for_java | v < 2.1.7, 2.2.0 ≤ v < 2.2.3 | 2.1.7, 2.2.3 |
| apache cxf | 3.4.4 | — |
| apache tomee | v < 8.0.8 | 8.0.8 |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
| oracle agile_product_lifecycle_management | 9.3.6 | — |
| oracle commerce_guided_search | 11.3.2 | — |
| oracle commerce_platform | 11.3.2 | — |
| oracle communications_diameter_intelligence_hub | 8.0.0 ≤ v ≤ 8.1.0, 8.2.0 ≤ v ≤ 8.2.3 | — |
| oracle communications_messaging_server | 8.1 | — |
| oracle flexcube_private_banking | 12.1.0 | — |
| oracle outside_in_technology | 8.5.5 | — |
| oracle peoplesoft_enterprise_peopletools | 8.58, 8.59 | — |
| oracle retail_bulk_data_integration | 16.0.3 | — |
| oracle retail_financial_integration | 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1 | — |
| oracle retail_integration_bus | 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1 | — |
| oracle retail_merchandising_system | 16.0.3, 19.0.1 | — |
| oracle retail_service_backbone | 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1 | — |
| oracle weblogic_server | 12.2.1.4.0, 14.1.1.0.0 | — |
| org.apache.santuario:xmlsecMaven | 2.2.0 ≤ v < 2.2.3, v < 2.1.7 | 2.2.3, 2.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.