CVE-2021-4314
Açıklama
JWT gizli anahtarı bilinmeden JWT belirtecinin manipüle edilmesi ve geçerli bir JWT belirteci olmaksızın herhangi bir kullanıcı olarak kimlik doğrulaması yapılması mümkündür. Bu durum yalnızca zOSMF üzerinde APAR PH12143 uygulanmadığı durumlarda meydana gelmektedir. Bu sorun 1.16 ile 1.19 arasındaki versiyonları etkilemektedir. Sorgulama yapmak için ZAAS istemcisini veya API ML API'sini kullanan servisler, JWT belirtecindeki bilgilerin geçersiz olduğu halde geçerli olduğuna inandırılmaktadır. Bunun, güney yönlü (southbound) servisi farklı bir kullanıcının kimlik doğruladığına ikna etmek için kullanılması mümkündür.
Nasıl düzeltilir
- linuxfoundation zowe_api_mediation_layer1.19.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation zowe_api_mediation_layer | 1.16.0 ≤ v < 1.19.0 | 1.19.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.