CVE-2022-31142
Açıklama
@fastify/bearer-auth, bearer Authorization başlıklarını zorunlu kılmak için kullanılan bir Fastify eklentisidir. 7.0.2 ve 8.0.1 versiyonlarından önceki @fastify/bearer-auth, crypto.timingSafeEqual fonksiyonunu güvenli bir şekilde kullanmamaktadır. Kötü niyetli bir saldırgan, geçerli bir bearer token'ın uzunluğunu tahmin edebilir. İlgili RFC 6750'ye göre, bearer token yalnızca base64 geçerli karakterlere sahiptir ve bu durum kaba kuvvet (brute force) saldırısı için karakter aralığını daraltmaktadır. @fastify/bearer-auth'un 7.0.2 ve 8.0.1 versiyonları bir yama içermektedir. Şu an için bilinen bir geçici çözüm bulunmamaktadır. 6.0.3 ve öncesi versiyonları kapsayan fastify-bearer-auth paketi de 5.0.1 versiyonundan itibaren savunmasızdır. fastify-bearer-auth kullanıcıları, @fastify/bearer-auth'un yamalanmış bir versiyonuna yükseltme yapmalıdır.
Nasıl düzeltilir
- fastify bearer-auth7.0.2 ya da sonraki bir sürüm
- @fastify/bearer-auth7.0.2, 8.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastify bearer-auth | 5.0.1 ≤ v < 7.0.2, 8.0.0 | 7.0.2 |
| fastify-bearer-authnpm | 5.0.1 ≤ v ≤ 6.0.3 | — |
| @fastify/bearer-authnpm | v < 7.0.2, 8.0.0 ≤ v < 8.0.1 | 7.0.2, 8.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.