CVE-2024-51987
Açıklama
Duende.AccessTokenManagement.OpenIdConnect, OAuth ve OpenId Connect erişim belirteçlerini yöneten bir .NET kütüphaneleri setidir. `AddUserAccessTokenHttpClient` ile oluşturulan HTTP İstemcileri, bir belirteç yenileme işlemi gerçekleştikten sonra farklı bir kullanıcının erişim belirtecini kullanabilir. Bu durum, yenilenen bir belirtecin havuzlanmış `HttpClient` örneklerinde yakalanması ve bu örneklerin farklı bir kullanıcı tarafından kullanılabilmesi nedeniyle oluşur. Giden isteklere otomatik olarak yönetilen bir belirteç ekleyen bir `HttpClient` oluşturmak için `AddUserAccessTokenHttpClient` kullanmak yerine, `HttpConext.GetUserAccessTokenAsync` genişletme yöntemini veya `IUserTokenManagementService.GetAccessTokenAsync` yöntemini kullanabilirsiniz. Bu sorun Duende.AccessTokenManagement.OpenIdConnect 3.0.1 sürümünde düzeltilmiştir. Tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- Duende.AccessTokenManagement.OpenIdConnect3.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Duende.AccessTokenManagement.OpenIdConnectNuGet | 3.0.0 ≤ v < 3.0.1 | 3.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.