Red Hat Single Sign-On 是美國紅帽(Red Hat)公司的一個身份驗證和訪問控制系統(tǒng)。該工具負(fù)責(zé)為系統(tǒng)的身份驗證和訪問控制功能，支持大多數(shù)身份驗證協(xié)議(Oauth、OpenId Connect)等，并可輕易集成 OpenShift 和 Red Hat 中間件等多數(shù)產(chǎn)品。

　　12 月 1 日 , RedHat 發(fā)布了安全更新，修復(fù)了 Red Hat Single Sign-On 中發(fā)現(xiàn)的 SQL 注入漏洞。以下是漏洞詳情：

　　漏洞詳情

　　來源：https://access.redhat.com/errata/RHSA-2020:5254

　　CVE-2020-25638 CVSS 評分：7.4 嚴(yán)重程度：高

　　SQL 注入即是指 web 應(yīng)用程序?qū)τ脩糨斎霐?shù)據(jù)的合法性沒有判斷，攻擊者可以在 web 應(yīng)用程序中事先定義好的查詢語句的結(jié)尾上添加額外的 SQL 語句，以此來實現(xiàn)欺騙數(shù)據(jù)庫服務(wù)器執(zhí)行非授權(quán)的任意查詢，從而進(jìn)一步得到相應(yīng)的數(shù)據(jù)信息。

　　在 hibernate-core 5.4.23.Final 及先前版本中發(fā)現(xiàn)了一個漏洞 , 當(dāng)在查詢的 SQL 注釋中使用文字時，在 JPA Criteria API 的實現(xiàn)中進(jìn)行 SQL 注入可以允許使用未經(jīng)處理的文字。此漏洞可能使攻擊者可以訪問未授權(quán)的信息或可能進(jìn)行進(jìn)一步的攻擊。此漏洞的最大威脅是對數(shù)據(jù)機密性和完整性的威脅。

　　受影響產(chǎn)品和版本

　　Red Hat Single Sign-On Text-Only Advisories x86_64

　　Red Hat OpenStack Platform 10 (Newton)

　　Red Hat OpenStack Platform 13 (Queens)

　　Red Hat JBoss Fuse 7

　　Red Hat Integration Camel K

　　Red Hat Integration Service Registry

　　Red Hat JBoss Web Server 5

　　A-MQ Clients 2

　　Red Hat BPM Suite 6

　　Red Hat build of Quarkus

　　Red Hat CodeReady Studio 12

　　解決方案

　　RedHat 已經(jīng)發(fā)布安全更新 , 可以從客戶門戶網(wǎng)站獲得針對 Red Hat Single Sign-On 7.4 的安全更新

　　查看更多漏洞信息 以及升級請訪問官網(wǎng)：

　　https://access.redhat.com/security/security-updates/#/security-advisories

特別提醒：本網(wǎng)內(nèi)容轉(zhuǎn)載自其他媒體，目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實，對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾，并請自行核實相關(guān)內(nèi)容。本站不承擔(dān)此類作品侵權(quán)行為的直接責(zé)任及連帶責(zé)任。如若本網(wǎng)有任何內(nèi)容侵犯您的權(quán)益，請及時聯(lián)系我們，本站將會在24小時內(nèi)處理完畢。