CVE编号
CVE-2019-12423利用情况
暂无补丁情况
N/A披露时间
2020-01-17漏洞描述
Apache CXF附带有一个OpenId Connect JWK密钥服务，该服务允许客户端获取JWK格式的公共密钥，然后可以使用该公共密钥来验证该服务发行的令牌的签名。通常，服务通过指定密钥库的路径和密钥库条目的别名来从本地密钥库（JKS / PKCS12）获取公共密钥。这种情况并不脆弱。但是，也可以通过将配置参数“ rs.security.keystore.type”设置为“ jwk”来从JWK密钥库文件中获取密钥。对于这种情况，所有密钥均按“原样”返回此文件，包括所有私钥和私钥凭据。如果用户使用私有或私有密钥凭证配置了签名密钥库文件，则这将带来明显的安全风险。从CXF 3.3.5和3.2.12开始，必须指定一个别名，该别名与JWK文件中密钥的ID相对应，并且仅返回此密钥。此外，默认情况下会忽略任何私钥信息。根本不返回包含秘密密钥的“ oct”密钥。解决建议
厂商已发布了漏洞修复程序，请及时关注更新：http://cxf.apache.org/security-advisories.data/CVE-2019-12423.txt.asc?version=1&modificationDate=1579178393000&api=v2
参考链接 |
|
|---|---|
| http://cxf.apache.org/security-advisories.data/CVE-2019-12423.txt.asc?version... | |
| https://lists.apache.org/thread.html/r36e44ffc1a9b365327df62cdfaabe85b9a5637d... | |
| https://lists.apache.org/thread.html/rd49aabd984ed540c8ff7916d4d79405f3fa311d... | |
| https://lists.apache.org/thread.html/rd588ff96f18563aeb5f87ac8c6bce7aae86cb1a... | |
| https://lists.apache.org/thread.html/rec7160382badd3ef4ad017a22f64a266c7188b9... | |
| https://lists.apache.org/thread.html/rfb87e0bf3995e7d560afeed750fac9329ff5f1a... | |
| https://lists.apache.org/thread.html/rff42cfa5e7d75b7c1af0e37589140a8f1999e57... | |
| https://www.oracle.com/security-alerts/cpuApr2021.html | |
| https://www.oracle.com/security-alerts/cpujul2020.html | |
| https://www.oracle.com/security-alerts/cpuoct2020.html |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | apache | cxf | * |
Up to (excluding) 3.2.12 |
|||||
| 运行在以下环境 | |||||||||
| 应用 | apache | cxf | * |
From (including) 3.3.0 |
Up to (excluding) 3.3.5 |
||||
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 高
- 完整性 无
还没有评论，来说两句吧...