CVE-2024-41948
Açıklama
biscuit-java, mikro hizmet mimarileri için bir kimlik doğrulama ve yetkilendirme belirteci olan Biscuit'in Java uygulamasıdır. Tüm belirteç üçüncü taraf otoriteye aktarılmadan üçüncü taraf blokları oluşturulabilir. Bunun yerine, yalnızca bir üçüncü taraf bloğu oluşturmak ve imzalamak için gerekli bilgileri sağlayan bir ThirdPartyBlock isteği gönderilebilir; bu bilgiler önceki bloğun genel anahtarını (imzada kullanılır) ve belirteç sembol tablosunun genel anahtarlar kısmını (datalog ifadelerinde genel anahtar stajı için) içerir. Kötü niyetli bir kullanıcı tarafından sahte olarak oluşturulan bir üçüncü taraf blok isteği, üçüncü taraf otoritesini yanlış anahtar çiftine güvenen datalog oluşturmaya yönlendirebilir. Bu güvenlik açığı 4.0.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- biscuitsec biscuit-java4.0.0 ya da sonraki bir sürüm
- org.biscuitsec:biscuit4.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| biscuitsec biscuit-java | 3.0.0 ≤ v < 4.0.0 | 4.0.0 |
| org.biscuitsec:biscuitMaven | 3.0.0 ≤ v < 4.0.0 | 4.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.