6.5
Moyenne
CVE-2023-5675 Quarkus: authorization flaw in quarkus resteasy reactive and classic when "quarkus.security.jaxrs.deny-unannotated-endpoints" or "quarkus.security.jaxrs.default-roles-allowed" properties are used.
Description
A flaw was found in Quarkus. When a Quarkus RestEasy Classic or Reactive JAX-RS endpoint has its methods declared in the abstract Java class or customized by Quarkus extensions using the annotation processor, the authorization of these methods will not be enforced if it is enabled by either 'quarkus.security.jaxrs.deny-unannotated-endpoints' or 'quarkus.security.jaxrs.default-roles-allowed' properties.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Portée
- Inchangée
- Confidentialité
- Faible
- Intégrité
- Faible
- Disponibilité
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Red Hat build of Quarkus 2.13.9.Final 2.13 | premières → < 2.13.9.Final-redhat-00003 | 2.13.9.Final-redhat-00003 |
| Red Hat build of Quarkus 3.2.9.Final 3.2 | premières → < 3.2.9.Final-redhat-00003 | 3.2.9.Final-redhat-00003 |
| A-MQ Clients 2 | Versions non publiées | |
| Cryostat 2 | Versions non publiées | |
| OpenShift Serverless | Versions non publiées | |
| Red Hat build of Apicurio Registry 2 | Versions non publiées | |
| Red Hat build of OptaPlanner 8 | Versions non publiées | |
| Red Hat Fuse 7 | Versions non publiées | |
| Red Hat Integration Camel K 1 | Versions non publiées |
Afficher les 3 autres branches Masquer les 3 autres branches
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Red Hat Integration Camel Quarkus 2 | Versions non publiées | |
| Red Hat JBoss Enterprise Application Platform 8 | Versions non publiées | |
| Red Hat Process Automation 7 | Versions non publiées |
Références
- RHSA-2024:0494 access.redhat.com
- RHSA-2024:0495 access.redhat.com
- access.redhat.com access.redhat.com
- RHBZ#2245197 bugzilla.redhat.com
Chronologie
- Publiée
- Dernière modification