CVE-2022-23457
Açıklama
ESAPI (The OWASP Enterprise Security API), ücretsiz ve açık kaynaklı bir web uygulaması güvenlik kontrol kütüphanesidir. Versiyon 2.3.0.0 öncesinde, `Validator.getValidDirectoryPath(String, String, File, boolean)` fonksiyonunun varsayılan uygulaması, test edilen giriş dizgisini belirtilen üst dizinin bir alt dizini olarak yanlışlıkla değerlendirebilir. Bir saldırganın 'input' yolunu temsil eden tüm dizgiyi belirleyebilmesi durumunda, bu durum potansiyel olarak kontrol akışı baypas kontrollerinin etkisiz hale getirilmesine izin verebilir. Bu zafiyet, ESAPI'nin 2.3.0.0 sürümünde yamalanmıştır. Geçici bir çözüm olarak, Validator arayüzünün kendi uygulamasını yazmak mümkündür; ancak bakımcılar bunu önermemektedir.
Nasıl düzeltilir
- owasp enterprise_security_api2.3.0.0 ya da sonraki bir sürüm
- org.owasp.esapi:esapi2.3.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owasp enterprise_security_api | v < 2.3.0.0 | 2.3.0.0 |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | — |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| netapp oncommand_workflow_automation | Aralık belirtilmemiş | — |
| org.owasp.esapi:esapiMaven | v < 2.3.0.0 | 2.3.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.