CVE-2026-15243
Təsvir
Apereo CAS Client, müştərinin müraciət etdiyi URL konfiqurasiya edilmiş icazə siyahısına və ya regex-ə uyğun gəldiyi halda, istənilən host adı üçün istənilən CA tərəfindən etibarlı sayılan sertifikatı qəbul edir. MITM mövqeyinə malik hücumçu (DNS zəhərlənməsi, saxta Wi-Fi, zərərli proksi və s.) konfiqurasiya edilmiş icazə siyahısına və ya regex-ə uyğun gələn host adı üçün istənilən CA tərəfindən imzalanmış sertifikat təqdim edə bilər. Bu, CAS mübadiləsinin tutulmasına, Ticket-Granting Ticket (TGT) ələ keçirilməsinə və sonradan qurbanın adından Service Tickets əldə edilməsinə gətirib çıxara bilər. Baxıcılarla əlaqə cəhdləri uğursuz olduğundan, zəifliklər yalnız 4.1.0 (Java Apereo CAS Client) və 3.6.4 (Jasig CAS Client) versiyalarında təsdiqlənmişdir, lakin digər versiyalara da təsir edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apereo Java Apereo CAS Client | 4.1.0 | — |
| Apereo Jasig CAS Client | 3.6.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.