CVE-2023-20903
Açıklama
Bu açıklama, UAA yenileme belirteçleri (refresh tokens) ve harici kimlik sağlayıcıları ile ilgili bir güvenlik açığı hakkındadır. Harici bir kimlik sağlayıcının UAA'ya bağlı olduğu varsayıldığında; söz konusu kimlik sağlayıcıdaki bir kullanıcı adına istemciye bir yenileme belirteci düzenlendikten sonra, UAA yöneticisi bu kimlik sağlayıcıyı UAA üzerinden devre dışı bıraktığında, UAA'nın bir yenileme belirteci izni (refresh token grant) sırasında bu belirteci reddetmesi beklenir ancak bunu yapmamaktadır (güvenlik açığının nedeni budur). Kimlik sağlayıcı hâlâ aktifmiş gibi, bu tür yenileme belirteçlerini sunan isteklere erişim belirteçleri (access tokens) vermeye devam edecektir. Sonuç olarak, devre dışı bırakılan kimlik sağlayıcı aracılığıyla düzenlenen yenileme belirteçlerine sahip olan istemciler, yenileme belirteçlerinin süresi dolana kadar (varsayılan olarak 30 gün) Cloud Foundry kaynaklarına erişmeye devam edebilecektir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cloudfoundry user_account_and_authentication | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.