CVE-2022-39351
Açıklama
Dependency-Track, kuruluşların yazılım tedarik zincirindeki riskleri belirlemesine ve azaltmasına olanak tanıyan bir Bileşen Analizi platformudur. Versiyon 4.6.0 öncesinde, yetersiz izinlere sahip geçerli bir API anahtarı kullanılarak API isteği gerçekleştirilmesi, API anahtarının Dependency-Track denetim günlüğüne açık metin olarak yazılmasına neden olur. Denetim günlüğüne erişimi olan aktörler, geçerli API anahtarlarına erişim sağlamak için bu açığı istismar edebilir. Sorun Dependency-Track 4.6.0 sürümünde düzeltilmiştir. Tüm API anahtarını kaydetmek yerine, yalnızca anahtarın son 4 karakteri kaydedilecektir. Geçmiş günlüklerin bu davranış açısından kontrol edilmesi ve sızıntı durumunda API anahtarlarının yeniden oluşturulması şiddetle önerilir.
Nasıl düzeltilir
- owasp dependency-track4.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owasp dependency-track | v < 4.6.0 | 4.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.