CVE-2024-47197
Açıklama
Maven Archetype Plugin içerisinde Hassas Bilgilerin Yetkisiz Bir Aktöre İfşası ve Hassas Bilgilerin Güvensiz Depolanması zafiyeti bulunmaktadır. Bu sorun, Maven Archetype Plugin'in 3.2.1 ile 3.3.0 arasındaki sürümlerini etkilemektedir. Kullanıcıların, sorunu gideren 3.3.0 sürümüne yükseltmeleri önerilir. Archetype entegrasyon testi, ./target/classes/archetype-it/archetype-settings.xml adlı bir dosya oluşturur. Bu dosya, kullanıcıların genellikle yayınlamak istemedikleri bilgileri içeren ~/.m2/settings.xml dosyasındaki tüm içeriği barındırır. Birçok geliştirici makinesinde bu dosyanın kimlik bilgilerini de içerdiği öngörülmektedir. Kullanıcı, (mvn clean komutu olmadan) tekrar mvn verify komutunu çalıştırdığında, bu dosya nihai artefaktın bir parçası haline gelir. Bir geliştiricinin bunu Maven Central veya başka herhangi bir uzak depoya (ister sürüm ister snapshot olarak) yayınlaması durumunda, kimlik bilgileri haberleri olmadan yayınlanmış olur.
Nasıl düzeltilir
- org.apache.maven.plugins:maven-archetype-plugin3.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache maven_archetype | 3.2.1 | — |
| org.apache.maven.plugins:maven-archetype-pluginMaven | 3.2.1 ≤ v < 3.3.0 | 3.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.