CVE-2024-9202
Açıklama
Eclipse Dataspace Components 0.1.3 ile 0.9.0 sürümlerinde, Connector bileşeni, yalnızca yetkili tarafların kısıtlı teklifleri görüntüleyebilmesini sağlamak için başka bir tarafın talep edilen katalogda hangi veri setlerini (= veri tekliflerini) görebileceğini filtreler. Ancak, aynı filtreleme işlemine tabi olması gereken tek bir veri setini talep etme olasılığı mevcuttur, fakat şu anda doğru filtreleme eksiktir. Bu durum, tarafların potansiyel olarak erişmemeleri gereken veri setlerini görmelerine olanak tanıyarak hassas bilgilerin açığa çıkmasına neden olur. Bu güvenlik açığının istismar edilmesi, kısıtlanmış bir veri setinin ID'sinin bilinmesini gerektirir; ancak bazı ID'ler, birçok ID otomatik olarak denenerek tahmin edilebilir. Etkilenen kod: DatasetResolverImpl, L76-79 https://github.com/eclipse-edc/Connector/blob/v0.9.0/core/control-plane/control-plane-catalog/src/main/java/org/eclipse/edc/connector/controlplane/catalog/DatasetResolverImpl.java
Nasıl düzeltilir
- eclipse eclipse_dataspace_components0.9.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse eclipse_dataspace_components | 0.1.3 ≤ v < 0.9.1 | 0.9.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.