CVE-2022-24721
Açıklama
CometD, web mesajlaşma için ölçeklenebilir bir comet uygulamasıdır. 5.0.11, 6.0.6 ve 7.0.6 öncesindeki tüm sürümlerde, Oort ve Seti kanallarının dahili kullanımı hatalı şekilde yetkilendirilmiştir; bu nedenle herhangi bir uzak kullanıcı bu kanallara abone olabilir ve yayın yapabilir. Bu kanallara abone olarak, uzak bir kullanıcı diğer kullanıcıların (muhtemelen hassas) verilerini içeren küme içi trafiği izleyebilir. Bu kanallara yayın yaparak, uzak bir kullanıcı diğer kullanıcıların verilerini oluşturabilir/değiştirebilir/silebilir ve küme yapısını değiştirebilir. 5.0.11, 6.0.6 ve 7.0.6 sürümlerinde düzeltme mevcuttur. Geçici çözüm olarak, Oort ve Seti kanallarında uzak, Oort olmayan oturumların aboneliğini ve yayınını yasaklayan özel bir `SecurityPolicy` yükleyin.
Nasıl düzeltilir
- cometd cometd5.0.11, 6.0.6, 7.0.6 ya da sonraki bir sürüm
- org.cometd.java:cometd-java-oort5.0.11, 6.0.6, 7.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cometd cometd | v < 5.0.11, 6.0.0 ≤ v < 6.0.6, 7.0.0 ≤ v < 7.0.6 | 5.0.11, 6.0.6, 7.0.6 |
| org.cometd.java:cometd-java-oortMaven | v < 5.0.11, 6.0.0 ≤ v < 6.0.6, 7.0.0 ≤ v < 7.0.6 | 5.0.11, 6.0.6, 7.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.