CVE-2023-6147
Açıklama
1.0.5 sürümü dahil öncesindeki Qualys Jenkins Plugin for Policy Compliance'ın, Qualys Cloud Services'e bağlantı kontrolü gerçekleştirirken bir izin kontrolünün eksik olması nedeniyle bir güvenlik açığından etkilendiği tespit edilmiştir. Bu durum, giriş erişimine sahip olan ve işleri yapılandırabilen veya düzenleyebilen herhangi bir kullanıcının eklentiyi kullanmasına ve potansiyel olarak sahte bir uç nokta yapılandırmasına olanak tanımıştır; bu uç nokta üzerinden belirli isteklerin yanıtlarının kontrol edilmesi mümkün olup, yanıt verileri işlenirken XXE yüklerinin enjekte edilebilmesi sonucunda XXE'ye yol açabilmektedir.
Nasıl düzeltilir
- com.qualys.plugins:qualys-pc1.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| qualys policy_compliance | v ≤ 1.0.5 | — |
| com.qualys.plugins:qualys-pcMaven | v < 1.0.6 | 1.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.