CVE-2024-22259
Açıklama
Spring Framework içinde dışarıdan sağlanan bir URL'yi (örneğin bir sorgu parametresi aracılığıyla) ayrıştırmak için UriComponentsBuilder kullanan VE ayrıştırılan URL'nin ana makinesi (host) üzerinde doğrulama kontrolleri gerçekleştiren uygulamalar; eğer URL doğrulama kontrollerini geçtikten sonra kullanılırsa, bir açık yönlendirme (open redirect) https://cwe.mitre.org/data/definitions/601.html saldırısına veya bir SSRF saldırısına karşı savunmasız olabilir. Bu durum, farklı girdilerle birlikte CVE-2024-22243 https://spring.io/security/cve-2024-22243 ile aynıdır.
Nasıl düzeltilir
- vmware spring_framework5.3.33, 6.0.18, 6.1.5 ya da sonraki bir sürüm
- org.springframework:spring-web6.1.5, 6.0.18, 5.3.33 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_framework | v < 5.3.33, 6.0.0 ≤ v < 6.0.18, 6.1.0 ≤ v < 6.1.5 | 5.3.33, 6.0.18, 6.1.5 |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| org.springframework:spring-webMaven | 6.1.0 ≤ v < 6.1.5, 6.0.0 ≤ v < 6.0.18, v < 5.3.33 | 6.1.5, 6.0.18, 5.3.33 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.