CVE-2023-6134
Orta
Açıklama
Keycloak'ta, yönlendirmelerde belirli şemaları engelleyen ancak belirtece bir joker karakter eklendiğinde bunlara izin veren bir açık bulundu. Bu sorun, bir saldırganın siteler arası betik çalıştırmaya (XSS) veya daha ileri saldırılara yol açan özel olarak hazırlanmış bir istek göndermesine olanak tanıyabilir. Bu açık, CVE-2020-10748 için yapılan eksik bir düzeltmenin sonucudur.
ÖnemOrta
CVSS4.6
İstismar olasılığı—
Ürün
Redhat Keycloak
Yayın14 Ara 2023
İlk görülme14 Ara 2023
Zayıflık türüCWE-79Siteler arası betik (XSS)
Nasıl düzeltilir
Güncelleyin
- redhat keycloak22.0.7 ya da sonraki bir sürüm
- redhat single_sign-on7.6 ya da sonraki bir sürüm
- org.keycloak:keycloak-services23.0.3 ya da sonraki bir sürüm
Üretici duyuruları
- access.redhat.com/errata/RHSA-2023:7854
- access.redhat.com/errata/RHSA-2023:7855
- access.redhat.com/errata/RHSA-2023:7856
- access.redhat.com/errata/RHSA-2023:7857
- access.redhat.com/errata/RHSA-2023:7858
- access.redhat.com/errata/RHSA-2023:7860
- access.redhat.com/errata/RHSA-2023:7861
- access.redhat.com/errata/RHSA-2024:0798
- access.redhat.com/errata/RHSA-2024:0799
- access.redhat.com/errata/RHSA-2024:0800
- access.redhat.com/errata/RHSA-2024:0801
- access.redhat.com/errata/RHSA-2024:0804
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat keycloak | v < 22.0.7 | 22.0.7 |
| redhat single_sign-on | v < 7.6, Aralık belirtilmemiş | 7.6 |
| redhat openshift_container_platform | 4.11, 4.12 | — |
| redhat openshift_container_platform_for_power | 4.9, 4.10 | — |
| redhat openshift_container_platform_ibm_z_systems | 4.9, 4.10 | — |
| org.keycloak:keycloak-servicesMaven | v < 23.0.3 | 23.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.