CVE-2022-41954
Açıklama
MPXJ, çeşitli dosya formatlarından ve veri tabanlarından proje planlarını okumak ve yazmak için kullanılan açık kaynaklı bir kütüphanedir. Unix benzeri işletim sistemlerinde (Windows veya macos değil), MPXJ'nin `File.createTempFile(..)` kullanımı, geçici dosyaların `-rw-r--r--` izinleriyle oluşturulmasına neden olur. Bu durum, sistemdeki herhangi bir diğer kullanıcının bu dosyanın içeriğini okuyabileceği anlamına gelir. MPXJ, geçici bir dosya veya dizin oluşturulmasını gerektiren bir çizelge dosyasını okurken, bilgili bir yerel kullanıcı bu geçici dosyaları kullanımdayken tespit edebilir ve böylece MPXJ tarafından işlenen çizelgeyi okuyabilir. Sorun giderilmiştir; MPXJ sürüm 10.14.1 ve sonrası gerekli değişiklikleri içermektedir. Yükseltme yapamayan kullanıcılar, `java.io.tmpdir` parametresini yalnızca uygulamayı çalıştıran kullanıcının erişebildiği bir dizine ayarlayarak diğer kullanıcıların bu geçici dosyalara erişmesini engelleyebilirler.
Nasıl düzeltilir
- mpxj mpxj10.14.1 ya da sonraki bir sürüm
- net.sf.mpxj:mpxj10.14.1 ya da sonraki bir sürüm
- net.sf.mpxj10.14.1 ya da sonraki bir sürüm
- net.sf.mpxj-for-csharp10.14.1 ya da sonraki bir sürüm
- net.sf.mpxj-for-vb10.14.1 ya da sonraki bir sürüm
- mpxj10.14.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mpxj mpxj | v < 10.14.1 | 10.14.1 |
| net.sf.mpxj:mpxjMaven | v < 10.14.1 | 10.14.1 |
| net.sf.mpxjNuGet | v < 10.14.1 | 10.14.1 |
| net.sf.mpxj-for-csharpNuGet | v < 10.14.1 | 10.14.1 |
| net.sf.mpxj-for-vbNuGet | v < 10.14.1 | 10.14.1 |
| mpxjPyPI | v < 10.14.1 | 10.14.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.