Podatności a2a-java

W bibliotece a2aproject a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji TaskManager.saveTaskEvent. Manipulacja prowadzi do warunku wyścigu (race condition). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final naprawia ten problem (identyfikator łatki: 6b8e1e085c35e970ef0048901cd25850e4791ec2).

W bibliotece a2aproject a2a-java do wersji 1.2.0.Final zidentyfikowano słabość w funkcji InMemoryPushNotificationConfigStore.setInfo pliku extras/push-notification-config-store-database-jpa/src/main/java/org/a2aproject/sdk/extras/pushnotificationconfigstore/database/jpa/JpaDatabasePushNotificationConfigStore.java (komponent Push Notification Config Store). Manipulacja może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0.Final łagodzi problem (łatka: b478810a03b4a16841d36aca5c6e87d8f48fce67).

W bibliotece a2aproject a2a-java do wersji 1.2.0.Final odkryto podatność w funkcji queue.offer komponentu ChildQueue. Manipulacja prowadzi do zużycia zasobów. Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final wystarcza do rozwiązania problemu (łatka: be663f806efcfdddd2805d214fae4998379ac5f2).

W bibliotece a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji getMessage komponentu JSON-RPC Error Handler. Manipulacja danymi powoduje ujawnienie informacji poprzez komunikaty błędów. Atak można przeprowadzić zdalnie, a poprawka dostępna jest w wersji 1.3.0.Final.

Wykryto podatność w a2aproject a2a-java 1.2.0, w funkcji AuthorizationRequestHandlerDecorator.onListTasks, która prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0 rozwiązuje problem.

Zidentyfikowano słabość w a2aproject a2a-java 1.2.0. Dotkniętym elementem jest funkcja BasePushNotificationSender.dispatchNotification w pliku server-common/src/main/java/org/a2aproject/sdk/server/tasks/BasePushNotificationSender.java komponentu Authorization Header Construction. Ta manipulacja powoduje rozdzielenie odpowiedzi HTTP (http response splitting). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0 jest wystarczająca, aby naprawić ten problem. Nazwa poprawki: 247a655043f145f6f8e3853724b6a543eaa02001. Należy zaktualizować dotknięty komponent.