CVE-2023-36480
Açıklama
Aerospike Java istemcisi, bir Aerospike sunucusu ile iletişim kurmak için bir ağ protokolünü uygulayan bir Java uygulamasıdır. 7.0.0, 6.2.0, 5.2.0 ve 4.5.0 sürümlerinden önce, sunucudan alınan bazı mesajlar, istemcinin karşılaştığında daha fazla doğrulama yapmadan serileştirmeyi geri aldığı (deserialize) Java nesneleri içermektedir. İstemcileri kötü amaçlı bir sunucuyla iletişim kurmaya ikna etmeyi başaran saldırganlar, yanıtlarına özel olarak hazırlanmış nesneler ekleyebilir ve bu nesneler istemci tarafından serileştirmesi geri alındığında, istemcinin rastgele kod çalıştırmasını sağlayabilir. Bu durum, istemcinin üzerinde çalıştığı makinenin kontrolünün ele geçirilmesi için kötüye kullanılabilir. 7.0.0, 6.2.0, 5.2.0 ve 4.5.0 sürümleri bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- aerospike aerospike_java_client4.5.0, 5.2.0, 6.2.0 ya da sonraki bir sürüm
- com.aerospike:aerospike-client6.2.0, 5.2.0, 4.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aerospike aerospike_java_client | v < 4.5.0, 5.0.0 ≤ v < 5.2.0, 6.0.0 ≤ v < 6.2.0 | 4.5.0, 5.2.0, 6.2.0 |
| com.aerospike:aerospike-clientMaven | 6.0.0 ≤ v < 6.2.0, 5.0.0 ≤ v < 5.2.0, v < 4.5.0 | 6.2.0, 5.2.0, 4.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.