CVE-2024-10125

https://github.com/awslabs/aws-alb-identity-aspnetcore#validatetokensignature adresindeki Amazon.ApplicationLoadBalancer.Identity.AspNetCore deposu, Application Load Balancer (ALB) OpenId Connect entegrasyonu ile birlikte kullanılabilecek ve Fargate, EKS, ECS, EC2 ve Lambda dahil olmak üzere herhangi bir ASP.NET Core dağıtım senaryosunda kullanılabilecek bir Middleware içerir. JWT işleme kodunda imza doğrulaması gerçekleştirilmekte ancak JWT yayıncısı (issuer) ve imzalayan kimliği (signer identity) doğrulanmamaktadır. İmzalayanın ihmal edilmesi, altyapı sahibinin ALB hedeflerine internet trafiğine izin verdiği bir senaryo ile birleşirse (önerilmeyen bir yapılandırmadır), güvenilmeyen bir varlık tarafından JWT imzalanmasına olanak tanıyabilir ve bir aktör, ALB hedefleri için geçerli OIDC-federasyonlu oturumları taklit edebilir. Depo/paket kullanımdan kaldırılmıştır, ömrünü tamamlamıştır ve artık desteklenmemektedir. Bir güvenlik en iyi uygulaması olarak, ELB hedeflerinizin (örneğin EC2 Örnekleri, Fargate Görevleri vb.) genel IP adreslerine sahip olmadığından emin olun. Forklanmış veya türetilmiş tüm kodların, JWT içindeki imzalayan niteliğinin, servisin kullanmak üzere yapılandırıldığı Application Load Balancer'ın ARN'si ile eşleştiğini doğruladığından emin olun.