CVE-2024-22234

ملخص

في Spring Security، الإصدارات 6.1.x قبل 6.1.7 والإصدارات 6.2.x قبل 6.2.2، يكون التطبيق عرضة لثغرة التحكم في الوصول المعطوب عندما يستخدم مباشرةً طريقة `AuthenticationTrustResolver.isFullyAuthenticated(Authentication)`. تحديدًا، يكون التطبيق عرضة للثغرة إذا: * يستخدم التطبيق `AuthenticationTrustResolver.isFullyAuthenticated(Authentication)` مباشرةً ويتم تمرير معامل مصادقة فارغ (null) إليه مما يؤدي إلى إرجاع قيمة صحيحة (true) خاطئة. لا يكون التطبيق عرضة للثغرة إذا تحقق أي مما يلي: * لا يستخدم التطبيق `AuthenticationTrustResolver.isFullyAuthenticated(Authentication)` مباشرةً. * لا يمرر التطبيق قيمة فارغة (null) إلى `AuthenticationTrustResolver.isFullyAuthenticated`. * يستخدم التطبيق `isFullyAuthenticated` فقط عبر أمان الطرق https://docs.spring.io/spring-security/reference/servlet/authorization/method-security.html أو أمان طلبات HTTP https://docs.spring.io/spring-security/reference/servlet/authorization/authorize-http-requests.html

• CVE-2024-22243-CVE-2024-22234البحث

  بيئة CVE-2024-22243&CVE-2024-22234