Microsoft · Microsoft.Identitymodel · CVE-2024-21643
**Nome do software vulnerável e versões afetadas**
Versões do Microsoft.IdentityModel anteriores à 6.34.0
Versões do Microsoft.IdentityModel anteriores à 7.1.2
**Descrição**
O problema afeta o IdentityModel Extensions for .NET, que fornece assemblies para desenvolvedores web utilizarem provedores de identidade federados para estabelecer a identidade do chamador. Qualquer pessoa que utilize o protocolo `SignedHttpRequest` ou o `SignedHttpRequestValidator` está vulnerável. O Microsoft.IdentityModel confia na reivindicação `jku` por padrão para o protocolo `SignedHttpRequest`, permitindo a possibilidade de realizar qualquer solicitação `HTTP GET` remota ou local.
**Recomendações**
Para versões do Microsoft.IdentityModel anteriores à 6.34.0, atualize para a versão 6.34.0 ou superior.
Para versões do Microsoft.IdentityModel anteriores à 7.1.2, atualize para a versão 7.1.2 ou superior.