CVE-2026-26214
Təsvir
Galaxy FDS Android SDK (XiaoMi/galaxy-fds-sdk-android) versiya 3.0.8 və daha əvvəlki versiyalarda, HTTPS aktiv olduqda (defolt konfiqurasiya) TLS host adının yoxlanılması deaktiv edilir. GalaxyFDSClientImpl.createHttpClient() funksiyasında SDK, Apache HttpClient-i SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER ilə konfiqurasiya edir ki, bu da host adı uyğunsuzluğuna baxmayaraq hər hansı etibarlı TLS sertifikatını qəbul edir. FDSClientConfiguration-da HTTPS defolt olaraq aktiv olduğu üçün, SDK-dan standart parametrlərlə istifadə edən bütün tətbiqlər təsirlənir. Bu zəiflik, "man-in-the-middle" hücumçusuna Xiaomi FDS bulud saxlama son nöqtələri ilə SDK arasındakı kommunikasiyanı ələ keçirməyə və dəyişdirməyə imkan verir ki, bu da autentifikasiya məlumatlarının, fayl məzmunlarının və API cavablarının ifşa olunmasına səbəb ola bilər. XiaoMi/galaxy-fds-sdk-android açıq mənbəli layihəsi artıq dəstəklənmir (end-of-life).
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Xiaomi Technology Co., Ltd. Galaxy FDS Android SDK | v ≤ 3.0.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.