阿里云漏洞库

中危 Quarkus：在 uni 上使用 @cacheresult 时，上下文的潜在无效重用 (CVE-2023-6393)

CVE编号

CVE-2023-6393

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-12-07

漏洞描述

发现了Quarkus Cache Runtime中的一个漏洞。当请求处理使用@CacheResult进行缓存的Uni，并且缓存的Uni重用了初始的“完成”上下文时，处理将切换到缓存的Uni而不是请求上下文。如果缓存的Uni上下文包含敏感信息，这将成为一个问题，并且可能允许恶意用户从POST请求中受益，以获取为其他用户准备的响应并访问敏感数据。

解决建议

"将组件 io.quarkus:quarkus-cache 升级至 3.5.2 及以上版本"
"将组件 io.quarkus:quarkus-cache 升级至 3.2.9.final 及以上版本"

参考链接
https://access.redhat.com/errata/RHSA-2023:7700
https://access.redhat.com/security/cve/CVE-2023-6393
https://bugzilla.redhat.com/show_bug.cgi?id=2253113

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	redhat	build_of_quarkus	-	-

攻击路径

本地
攻击复杂度

困难
权限要求

管控权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
NVD-CWE-noinfo

中危 Quarkus：在 uni 上使用 @cacheresult 时，上下文的潜在无效重用 (CVE-2023-6393)

漏洞描述

解决建议

参考链接

受影响软件情况