CVE-2023-6236
Açıklama
Red Hat Enterprise Application Platform 8'de bir açık bulundu. Birden fazla kiracıya hizmet veren bir OIDC uygulaması ikinci kiracıya erişmeye çalıştığında, ikinci kiracı farklı bir OIDC yapılandırmasıyla korunduğu için kullanıcıdan tekrar giriş yapması istenmelidir. Temel sorun, önbelleğe alınmış bir jetonun kullanılıp kullanılmayacağına karar verirken OidcSessionTokenStore içerisinde meydana gelmektedir. Bu mantığın, "realm" seçeneğine ek olarak yeni "provider-url" seçeneğini de dikkate alacak şekilde güncellenmesi gerekmektedir. EAP-7, OIDC uygulamasında savunmasız olan provider-url yapılandırma seçeneğini sunmamaktadır ve bu açıktan etkilenmemektedir.
Nasıl düzeltilir
- org.wildfly.security:wildfly-elytron-http-oidc2.2.5.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.wildfly.security:wildfly-elytron-http-oidcMaven | v < 2.2.5.Final | 2.2.5.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.