删除OAuth令牌的人为破坏访问控制

CVE ID	严重程度	发表的日期	日期更新
cve - 2021 - 45074	媒介	03/02/2022	03/02/2022

JFrog Artifactory之前的7.29.3和6.23.38，是脆弱的访问控制，低权限的用户可以删除其他已知的用户OAuth令牌，它将在活动会话或下一个UI会话中强制重新身份验证。

CVSSv3.1基础分数：4.3AV: N /交流:L /公关:L / UI: N / S: U / C: N /我:N / A: L

产品	影响版本	打补丁的版本
Artifactory (7. x)	< 7.29.3	7.29.3
Artifactory (6. x)	< 6.23.38	6.23.38

此漏洞影响JFrog人工部署。

此漏洞需要对JFrog Artifactory进行身份验证访问，并猜测另一个用户的用户名以及OAuth令牌。

受影响的云环境已经使用固定版本进行了加固。对于云实例不需要任何操作。

要解决这个问题，需要采取一些行动．

将您的Artifactory版本升级到下面列出的其中一个版本:

产品	版本	链接
Artifactory (7. x)	7.29.3	https://releases.jfrog.io
Artifactory (6. x)	6.23.38	https://releases.jfrog.io

除了升级到固定版本之外，没有任何建议的解决方法。

cwe - 284:访问控制不当

米其林CERT的Maxime Escourbiac和Maxence Schmitt。

如果您对此建议有任何疑问或疑虑，请在JFrog支持门户．