CVE-2026-45575
Təsvir
epa4all-client, Telematik Infrastruktur-dakı epa4all / ePA 3.0 üçün Java Klientidir. Versiya 1.2.2-dək olan versiyalarda, klient və IDP arasındakı TLS bağlantısına MITM hücumu edə bilən təcavüzkar saxtalaşdırılmış kəşf sənədini əvəz edə bilər. Saxtalaşdırılmış sənəd uri_puk_idp_enc və uri_puk_idp_sig ünvanlarını təcavüzkarın nəzarətində olan URL-lərə yönləndirir. Daha sonra klient SMC-B ilə imzalanmış cavab sorğusunu təcavüzkarın şifrələmə açarı ilə şifrələyir və onu təcavüzkarın autentifikasiya son nöqtəsinə POST vasitəsilə göndərir. Bu, imzalanmış autentifikasiya materiallarının ələ keçirilməsinə səbəb olur. Bu zəiflik 1.2.2 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- com.oviva.telematik:epa4all-client1.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| com.oviva.telematik:epa4all-clientMaven | v < 1.2.2 | 1.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.