CVE-2024-22234
Açıklama
Spring Security'nin 6.1.7 öncesindeki 6.1.x sürümlerinde ve 6.2.2 öncesindeki 6.2.x sürümlerinde, bir uygulama AuthenticationTrustResolver.isFullyAuthenticated(Authentication) metodunu doğrudan kullandığında hatalı erişim kontrolü zafiyetine maruz kalmaktadır. Özellikle, aşağıdaki durum gerçekleştiğinde uygulama zafiyet barındırır: * Uygulamanın AuthenticationTrustResolver.isFullyAuthenticated(Authentication) metodunu doğrudan kullanması ve metoda null authentication parametresinin geçilmesi sonucunda hatalı bir şekilde true değerinin döndürülmesi. Aşağıdakilerden herhangi biri doğruysa uygulama zafiyet barındırmaz: * Uygulamanın AuthenticationTrustResolver.isFullyAuthenticated(Authentication) metodunu doğrudan kullanmaması. * Uygulamanın AuthenticationTrustResolver.isFullyAuthenticated metoduna null değeri geçirmemesi. * Uygulamanın isFullyAuthenticated metodunu yalnızca Method Security (https://docs.spring.io/spring-security/reference/servlet/authorization/method-security.html) veya HTTP Request Security (https://docs.spring.io/spring-security/reference/servlet/authorization/authorize-http-requests.html) aracılığıyla kullanması.
Nasıl düzeltilir
- vmware spring_security6.1.7, 6.2.2 ya da sonraki bir sürüm
- org.springframework.security:spring-security-core6.1.7, 6.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_security | 6.1.0 ≤ v < 6.1.7, 6.2.0 ≤ v < 6.2.2 | 6.1.7, 6.2.2 |
| org.springframework.security:spring-security-coreMaven | 6.1.0 ≤ v < 6.1.7, 6.2.0 ≤ v < 6.2.2 | 6.1.7, 6.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.