CVE-2023-0100
Açıklama
Eclipse BIRT'te, 2.6.2 sürümünden başlayarak varsayılan yapılandırma, rapor parametresi için mutlak bir HTTP yolu kullanılarak aynı ana bilgisayardan bir raporun alınmasına izin veriyordu (örneğin __report=http://xyz.com/report.rptdesign). Eğer __report parametresinde belirtilen ana bilgisayar, HTTP Host başlığı değeriyle eşleşirse rapor alınırdı. Ancak, sanal ana bilgisayarların kurulmadığı bazı yapılandırmalarda (örneğin Apache Tomcat'in varsayılan yapılandırmasında) veya varsayılan ana bilgisayar BIRT sunucusuna işaret ettiğinde Host başlığıyla oynanabilir. Bu güvenlik açığı Eclipse BIRT 4.13 sürümünde giderilmiştir.
Nasıl düzeltilir
- eclipse business_intelligence_and_reporting_tools4.13.0 ya da sonraki bir sürüm
- org.eclipse.birt:org.eclipse.birt.report.viewer4.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse business_intelligence_and_reporting_tools | 2.6.2 ≤ v < 4.13.0 | 4.13.0 |
| org.eclipse.birt:org.eclipse.birt.report.viewerMaven | 2.6.2 ≤ v < 4.13 | 4.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.