CVE-2022-31692
Açıklama
Spring Security'nin 5.7.5 öncesindeki 5.7 sürümleri ve 5.6.9 öncesindeki 5.6 sürümleri, forward veya include dispatcher türleri aracılığıyla yetkilendirme kurallarının atlatılmasına karşı savunmasız olabilir. Özellikle bir uygulama, aşağıdaki durumların tamamı geçerli olduğunda risk altındadır: Uygulamanın, Spring Security'nin forward ve include dispatcher türlerine güvenlik uygulamasını beklemesi; uygulamanın AuthorizationFilter'ı manuel olarak veya authorizeHttpRequests() yöntemi aracılığıyla kullanması; uygulamanın FilterChainProxy'yi forward ve/veya include isteklerine uygulanacak şekilde yapılandırması (örneğin, spring.security.filter.dispatcher-types = request, error, async, forward, include); uygulamanın isteği daha yüksek ayrıcalıkla korunan bir uç noktaya yönlendirmesi (forward) veya dahil etmesi (include); uygulamanın authorizeHttpRequests().shouldFilterAllDispatcherTypes(true) üzerinden Spring Security'yi her dispatcher türüne uygulanacak şekilde yapılandırması.
Nasıl düzeltilir
- vmware spring_security5.6.9, 5.7.5 ya da sonraki bir sürüm
- org.springframework.security:spring-security-core5.7.5, 5.6.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_security | 5.6.0 ≤ v < 5.6.9, 5.7.0 ≤ v < 5.7.5 | 5.6.9, 5.7.5 |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| org.springframework.security:spring-security-coreMaven | 5.7.0 ≤ v < 5.7.5, 5.6.0 ≤ v < 5.6.9 | 5.7.5, 5.6.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.