Timhess

**Nome do Software Vulnerável e Versões Afetadas** Steeltoe.Management.Endpoint versões anteriores a 4.2.0 Steeltoe.Management.EndpointCore versões anteriores a 3.4.0 **Descrição** O componente `Sanitizer` no atuador de Ambiente redige valores de configuração comparando os nomes das chaves com uma lista de sufixos. No entanto, a lista padrão não cobre o padrão .NET padrão `ConnectionStrings:<name>` ou o `Steeltoe:Client:<type>:Default:ConnectionString` dos Steeltoe Connectors. Como não há limpeza baseada em valor, strings de conexão completas, incluindo segmentos incorporados de `Password=` e `user:pass@host`, são retornadas integralmente nas respostas do endpoint '/actuator/env'. **Recomendações** Atualize o Steeltoe.Management.Endpoint para a versão 4.2.0. Atualize o Steeltoe.Management.EndpointCore para a versão 3.4.0. Remova `env` da lista de exposição do atuador. Adicione `.*connectionstring.*` ao `KeysToSanitize` como uma medida de defesa em profundidade. Exija autorização nos endpoints do atuador.

**Nome do Software Vulnerável e Versões Afetadas** Steeltoe.Security.Authentication.CloudFoundryBase versões anteriores a 3.4.0 Steeltoe.Security.Authentication.JwtBearer versões anteriores a 4.2.0 Steeltoe.Security.Authentication.OpenIdConnect versões anteriores a 4.2.0 **Descrição** O cache de chaves de assinatura JWT na função `TokenKeyResolver` utiliza `kid` como a única chave de cache sem namespace por autoridade. Em aplicações com múltiplos esquemas `JwtBearer` apontando para diferentes provedores de identidade, uma chave obtida para um esquema pode satisfazer a validação de token para outro. Além disso, as chaves em cache não possuem expiração, portanto, chaves rotacionadas ou revogadas permanecem confiáveis até que o processo da aplicação seja reiniciado. **Recomendações** Atualize o Steeltoe.Security.Authentication.CloudFoundryBase para a versão 3.4.0. Atualize o Steeltoe.Security.Authentication.JwtBearer para a versão 4.2.0. Atualize o Steeltoe.Security.Authentication.OpenIdConnect para a versão 4.2.0. Em implantações de múltiplos esquemas, configure apenas um esquema `JwtBearer` por aplicação quando forem necessários diferentes provedores de identidade. Reinicie o processo da aplicação após a rotação de chaves de assinatura de um provedor de identidade para limpar chaves em cache obsoletas.

**Nome do software vulnerável e versões afetadas** Versões do Steeltoe.Discovery.Eureka anteriores à 3.2.8 **Descrição** O problema diz respeito ao vazamento de credenciais nos logs ao utilizar múltiplas URLs de serviço do servidor Eureka com autenticação básica e ao ocorrer um erro na obtenção do registro de serviços. Apenas a primeira URL é mascarada no log de erros, o que pode expor as credenciais das URLs subsequentes. O código em questão está localizado no arquivo `DiscoveryClient.cs`. **Recomendações** Para versões do Steeltoe.Discovery.Eureka anteriores à 3.2.8, atualize para a versão 3.2.8 do pacote NuGet Steeltoe.Discovery.Eureka para resolver o problema de vazamento de credenciais. Como solução alternativa temporária, considere restringir o acesso aos logs para minimizar o risco de exposição de credenciais.