CVE-2025-32016
Açıklama
Microsoft Identity Web; Microsoft kimlik platformı (eski adıyla Azure AD v2.0 uç noktası) ve AAD B2C ile entegrasyon için ASP.NET Core ile birlikte kullanılan bir dizi yeniden kullanılabilir sınıf içeren bir kütüphanedir. Bu güvenlik açığı; daemon'lar, web uygulamaları ve web API'leri dahil olmak üzere gizli istemci uygulamalarını etkilemektedir. Belirli koşullar altında, istemci sırları veya sertifika ayrıntıları gibi hassas bilgiler bu uygulamaların servis günlüklerinde ifşa edilebilir. Servis günlüklerinin güvenli bir şekilde yönetilmesi amaçlanmıştır. Bilgi düzeyinde oluşturulan servis günlükleri veya şifreler, Base64 kodlu değerler veya İstemci sırrı içeren yerel dosya yollarına sahip kimlik bilgisi açıklamaları etkilenebilir. Ek olarak, Base64 kodlu sertifikalar veya şifreli kimlik bilgisi açıklamalarına sahip sertifika yolları kullanan servislerin günlükleri, günlük düzeyine bakılmaksızın, sertifikaların geçersiz veya süresi dolmuş olması durumunda etkilenmektedir. Bu kimlik bilgilerinin, geçersiz veya süresinin dolmuş olması nedeniyle kullanılamayacağını unutmayın. Bu güvenlik açığını gidermek için Microsoft.Identity.Web 3.8.2 veya Microsoft.Identity.Abstractions 9.0.0 sürümüne güncelleyin.
Nasıl düzeltilir
- Microsoft.Identity.Web3.8.2 ya da sonraki bir sürüm
- Microsoft.Identity.Abstractions9.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Microsoft.Identity.WebNuGet | 3.2.0 ≤ v < 3.8.2 | 3.8.2 |
| Microsoft.Identity.AbstractionsNuGet | 7.1.0 ≤ v < 9.0.0 | 9.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.