CVE-2022-27225
Açıklama
2021.4.3 öncesindeki Gradle Enterprise, bazı durumlarda şifrelenmemiş veri iletimine güvenmektedir. Kimlik yönetimi hizmetleri için Keycloak kullanmaktadır. Oturum açma işlemi sırasında Keycloak, etkili bir şekilde beni hatırla işlevi sağlayan tarayıcı çerezleri ayarlar. Eski Safari sürümleriyle geriye dönük uyumluluk için Keycloak, Secure özniteliği olmayan yinelenen bir çerez ayarlar; bu durum, söz konusu konumun HTTP üzerinden erişilmesi sırasında çerezin gönderilmesine izin verir. Bu durum, gerçek sunucu HTTPS gerektirmesine rağmen, saldırganın (Gradle Enterprise ana bilgisini taklit etme yeteneğine sahip olan) kullanıcıya sunucuya yönelik bir http:// bağlantısına tıklatarak oturum bilgilerini ele geçirme potansiyelini oluşturur.
Nasıl düzeltilir
- gradle enterprise2021.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradle enterprise | 2020.1 ≤ v < 2021.4.3 | 2021.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.