CVE-2021-41230
Açıklama
Pomerium açık kaynaklı kimlik farkındalıklı bir erişim vekilidir. Etkilenen sürümlerde, politikanın bir parçası olarak `allowed_idp_claims` kullanıldığında, ilk girişten sonra kullanıcıya ait OIDC taleplerinde yapılan değişiklikler politika değerlendirmesine yansıtılmamaktadır. Eğer `allowed_idp_claims` kullanılıyorsa ve bir kullanıcının talepleri değiştirilirse, Pomerium hatalı yetkilendirme kararları verebilir. Bu sorun v0.15.6 sürümünde giderilmiştir. Yükseltme yapamayan kullanıcıların, taleplerin güncellenmesini zorlamak için Redis'i temizleyerek veya bellek içi databroker'ı yeniden başlatarak `databroker` servisindeki verileri temizlemeleri önerilir.
Nasıl düzeltilir
- pomerium pomerium0.15.6 ya da sonraki bir sürüm
- github.com/pomerium/pomerium0.15.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pomerium pomerium | 0.14.0 ≤ v < 0.15.6 | 0.15.6 |
| github.com/pomerium/pomeriumGo | 0.14.0 ≤ v < 0.15.6, v < 0.15.6 | 0.15.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.