CVE-2022-37866
Açıklama
Apache Ivy bir depodan artefaktları indirdiğinde, bunları organizasyon, modül veya sürüm gibi artefakt koordinatları için yer tutucular içerebilen kullanıcı tarafından sağlanan bir "pattern" temelinde yerel dosya sistemine kaydeder. Söz konusu koordinatlar -genel olarak Ivy koordinatları için geçerli karakterler olan- "../" dizileri içeriyorsa, artefaktların Ivy'nin yerel önbelleğinin veya deposunun dışına kaydedilmesi veya yerel önbellek içindeki farklı artefaktların üzerine yazılması mümkündür. Bu güvenlik açığından yararlanmak için bir saldırganın uzak depo ile iş birliği yapması gerekir; çünkü Ivy, ".." dizileri içeren HTTP istekleri gönderecektir ve "normal" bir depo bunları artefakt koordinatlarının bir parçası olarak yorumlamayacaktır. Apache Ivy 2.0.0 ile 2.5.1 arasındaki sürümleri kullanan kullanıcılar Ivy 2.5.1 sürümüne yükseltmelidir.
Nasıl düzeltilir
- apache ivy2.5.1 ya da sonraki bir sürüm
- org.apache.ivy:ivy2.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache ivy | 2.0.0 ≤ v < 2.5.1 | 2.5.1 |
| org.apache.ivy:ivyMaven | 2.0.0 ≤ v < 2.5.1 | 2.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.