CVE-2023-0040
Açıklama
Async HTTP Client'ın 1.13.2 öncesindeki sürümleri, CRLF injection olarak adlandırılan bir hedefli istek manipülasyonuna karşı savunmasızdır. Bu zafiyet, HTTP başlık alanı değerlerinin ağa gönderilmeden önce yetersiz şekilde doğrulanmasının bir sonucudur. Kullanıcılar, güvenilmeyen verileri önceden temizlemeden HTTP başlık alanı değerlerine aktardıklarında risk altındadırlar; buradaki yaygın kullanım durumları, bir veri tabanındaki kullanıcı adlarının HTTP başlık alanlarına yerleştirilmesi olabilir. Bu zafiyet, saldırganların veri akışına yeni HTTP başlık alanları veya tamamen yeni istekler enjekte etmesine olanak tanır. Bu durum, isteklerin uzak sunucu tarafından amaçlanandan çok farklı şekilde anlaşılmasına neden olabilir. Genel olarak bunun veri sızıntısıyla sonuçlanması düşük bir ihtimaldir ancak birçok mantıksal hataya ve diğer hatalı davranışlara yol açabilir.
Nasıl düzeltilir
- asynchttpclient_project async-http-client1.4.1, 1.9.1, 1.12.1, 1.13.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| asynchttpclient_project async-http-client | v < 1.4.1, 1.5.0 ≤ v < 1.9.1, 1.10.0 ≤ v < 1.12.1, 1.13.0 ≤ v < 1.13.2 | 1.4.1, 1.9.1, 1.12.1, 1.13.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.