CVE-2026-52723
Təsvir
ePA 3.x Integration avtorizasiya iş axınını tətbiq edir və Tibbi İnformasiya Obyektlərini Almaniyanın elektron xəstə qeydinə yazır. Versiya 1.3.0-dan əvvəl ePA 3.x Integration, app/vau/VAUProtokoll.py faylında signed_vau_server_pub_keys və AUT_VAU_CertData sertifikat yollarını müstəqil etibarlı materiallara bağlamadan VAU server sertifikatının validasiyasını həyata keçirir. DiGA backend ilə ePA sistemi arasında şəbəkədə yerləşən hücumçu VAU əl sıxma prosesini (handshake) ələ keçirə, öz nəzarətində olan sertifikat və açar materiallarını təqdim edə və dairəvi etibar münasibətini təmin edə bilər. Təsirə məruz qalan versiyalarda TLS sertifikatının verifikasiyası da deaktiv edildiyi üçün heç bir müstəqil server autentifikasiyası layı hücuma mane olmur. Hücumçu VAU serverini təqlid edə, razılaşdırılmış sessiya açarlarına nəzarət edə və bütün şifrələnmiş VAU trafikini oxuya və ya dəyişdirə bilər. Bu problem 1.3.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fbeta-GmbH ePA3-Service-OpenSource | < 1.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.