CVE-2026-50578
Təsvir
ePA 3.x Integration avtorizasiya iş axınını tətbiq edir və Tibbi İnformasiya Obyektlərini Almaniyanın elektron xəstə qeydinə yazır. 1.3.0 versiyasından əvvəl ePA 3.x Integration həm app/vau/VAUProtokoll.py faylındakı ePA bağlantıları, həm də app/konnektor/Konnektor.py faylındakı Konnektor bağlantıları üçün TLS sertifikatının yoxlanılmasını deaktiv edir. Şəbəkədə yerləşən hücumçu istənilən sertifikatı təqdim edə, TLS bağlantısını kəsə və ePA trafikini ələ keçirə bilər. Təsirə məruz qalan versiyalarda tətbiq səviyyəsindəki sertifikat validasiyası da pozulduğu üçün VAU protokolu effektiv alternativ həll yolu təmin etmir. Konnektor sessiyasında self.session.verify False olaraq təyin edilmişdir, halbuki klient self.session.cert ilə autentifikasiyadan keçir; buna görə də Konnektoru təqlid edən hücumçu klientin qarşılıqlı TLS sertifikat mübadiləsini qəbul edə və smartkart əməliyyatlarını müşahidə edə bilər. Bu problem 1.3.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fbeta-GmbH ePA3-Service-OpenSource | < 1.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.