CVE-2025-22149
Açıklama
JWK Set (JSON Web Key Set), bir JWK ve JWK Set Go uygulamasıdır. 0.6.0 sürümünden önce, projenin sağladığı HTTP istemcisinin yerel JWK Set önbelleği, goroutine uzak JWK Set'ini yenilediğinde tam bir değiştirme yapmalıdır. Mevcut davranış ise üzerine yazmak veya eklemektir. Bu durum, sağlanan otomatik önbelleğe alma özellikli HTTP istemcisini kullanan ve bir JWK Set'inden anahtar kaldırılmasının iptal ile eşdeğer olduğu kullanım durumları için bir güvenlik sorunudur. Etkilenen otomatik önbellekleme özellikli HTTP istemcisi v0.5.0 sürümünde eklenmiş ve v0.6.0 sürümünde düzeltilmiştir. Tek geçici çözüm, sağlanan otomatik önbellekleme özellikli HTTP istemcisini kaldırmak ve yerine özel bir uygulama getirmektir. Bu işlem, HTTPClientStorageOptions.RefreshInterval değerinin sıfıra ayarlanmasını (veya değerin belirtilmemesini) gerektirir.
Nasıl düzeltilir
- github.com/MicahParks/jwkset0.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/MicahParks/jwksetGo | 0.5.0 ≤ v < 0.6.0 | 0.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.