CVE-2024-4536

Eclipse Dataspace Components versiyon 0.2.1 ile 0.6.2 arasında, EDC Connector bileşeninde ( https://github.com/eclipse-edc/Connector ), bir saldırgan vault üzerinden OAuth2 istemci sırlarını (client secrets) elde edebilir. Eclipse Dataspace Components versiyon 0.2.1 ile 0.6.2 arasında, EDC Connector bileşeninin ( https://github.com/eclipse-edc/Connector ) OAuth2 korumalı veri alıcısı (data sink) özelliğiyle ilgili bir güvenlik zafiyeti tespit edilmiştir. Özel ve OAuth2 korumalı bir veri alıcısı kullanıldığında, OAuth2'ye özgü veri adresi özellikleri sağlayıcı veri düzlemi tarafından çözümlenir. Sorun şudur ki; sırların saklandığı kasadan (secrets vault) hangi OAuth2 istemci sırrının alınacağını belirten ve tüketici tarafından sağlanan clientSecretKey, tüketicinin değil, sağlayıcının kasası bağlamında çözümlenmektedir. Bu sır değeri daha sonra, yine tüketici kontrolündeki tokenUrl adresine, bir OAuth2 istemci kimlik bilgileri izni (client credentials grant) parçası olarak gönderilir. Döndürülen erişim jetonu ise veri alıcısı URL'sine taşıyıcı jeton (bearer token) olarak iletilir. Başarılı bir gerçekleştirme için gerekli olan tüm kod yolları tam olarak uygulanmadığından, bu özellik tamamen devre dışı bırakılmıştır.