CVE-2022-31690
Açıklama
Spring Security'nin 5.7.5 öncesindeki 5.7 sürümleri, 5.6.9 öncesindeki 5.6 sürümleri ve desteklenmeyen daha eski sürümleri belirli koşullar altında yetki yükseltmeye karşı savunmasız olabilir. Kötü niyetli bir kullanıcı veya saldırgan, İstemci tarafından (tarayıcı aracılığıyla) Yetkilendirme Sunucusuna gönderilen bir isteği değiştirerek sonraki onaylama aşamasında yetki yükseltmeye yol açabilir. Bu senaryo, erişim belirteci almak için token uç noktasına yapılan sonraki istekte, Yetkilendirme Sunucusunun boş bir kapsam listesi içeren (RFC 6749, Bölüm 5.1 uyarınca) bir OAuth2 Erişim Belirteci Yanıtı ile yanıt vermesi durumunda gerçekleşebilir.
Nasıl düzeltilir
- vmware spring_security5.6.9, 5.7.5 ya da sonraki bir sürüm
- org.springframework.security:spring-security-oauth2-client5.7.5, 5.6.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_security | 5.6.0 ≤ v < 5.6.9, 5.7.0 ≤ v < 5.7.5 | 5.6.9, 5.7.5 |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| org.springframework.security:spring-security-oauth2-clientMaven | 5.7.0 ≤ v < 5.7.5, v < 5.6.9 | 5.7.5, 5.6.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.