Обнаружена уязвимость в Quarkus. Эта проблема возникает, когда при получении запроса через веб-сокет без указания разрешений на основе роле…
Обнаружена уязвимость в Quarkus. Эта проблема возникает, когда при получении запроса через веб-сокет без указания разрешений на основе ролей для операции GraphQL Quarkus обрабатывает запрос без аутентификации, несмотря на то, что конечная точка защищена. Это может позволить злоумышленнику получить доступ к информации и функциям за пределами обычных предоставленных разрешений API.
Программный продукт выполняет несколько связанных операций, однако в неверном порядке, что может порождать производные слабости.
https://cwe.mitre.org/data/definitions/696.html →Открыть в коллекции CWE →Продукт не выполняет проверку авторизации при попытке субъекта получить доступ к ресурсу или выполнить действие.
https://cwe.mitre.org/data/definitions/862.html →Открыть в коллекции CWE →Злоумышленник способен эффективно расшифровывать данные, не зная ключа дешифрования, если целевая система раскрывает информацию о том, возникла ли ошибка дополнения при расшифровке зашифртекста. Целевая система, утечку такой информации, становится оракулом дополнения, а злоумышленник может использовать этот оракул для эффективной расшифровки данных без знания ключа дешифрования, выполнив в среднем 128*b обращений к оракулу дополнения (где b — количество байт в блоке зашифртекста). Помимо расшифровки, злоумышленник способен также формировать корректные зашифртексты (то есть выполнять шифрование) с использованием оракула дополнения, не зная ключа шифрования.
https://capec.mitre.org/data/definitions/463.html →Открыть в коллекции CAPEC →Нет описания в исходных данных.
https://capec.mitre.org/data/definitions/665.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| build_of_quarkus | * | Отслеживается |
| quarkus | * | Отслеживается |