CVE-2026-107692
Təsvir
War Thunder oyun kliyenti autentifikasiya daşıyıcı tokenini (auth_jwt) TCP əl sıxma prosesindən sonraki ilk məlumat paketində şifrələmə yerinə yalnız LZ4 sıxılmasından istifadə edərək ötürür. Şəbəkə yolunda yerləşən hücumçu bu paketi passiv şəkildə ələ keçirib sıxılmasını açaraq açıq mətnli JSON yükünü aşkar edə bilər. Bu zəiflik müvəqqəti autentifikasiya olunmuş impersonasiyaya şərait yaradaraq, hücumçunun təsirlənmiş istifadəçi kimi oyun xidmətlərinə və müəyyən istifadəçi məlumatlarına (məsələn, e-poçt ünvanı və göstərilən telefon nömrəsi) daxil olmasına imkan verir. Bu, oyun prosesinə icazəsiz girişi mümkün etsə də, hesabın tam ələ keçirilməsinə imkan vermir, çünki bundan hesabın təhlükəsizlik parametrlərini dəyişmək, şifrələri yeniləmək, hesab idarəetməsi üçün iki faktorlu autentifikasiyadan yan keçmək və ya maliyyə məlumatlarına daxil olmaq üçün istifadə edilə bilməz.
Necə düzəltmək olar
- Gaijin Entertainment War Thunder2.59.0.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Gaijin Entertainment War Thunder | 2.57.1.140 ≤ v < 2.59.0.9 | 2.59.0.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.