CVE-2026-53712
Təsvir
SCRAM (Salted Challenge Response Authentication Mechanism), Sadə Autentifikasiya və Təhlükəsizlik Layı (SASL, RFC 4422) autentifikasiya mexanizmləri ailəsinin bir hissəsidir. Versiya 3.3-dən əvvəl, com.ongres.scram:scram-client və com.ongres.scram:scram-common komponentlərindəki çatışmazlıq, TLS man-in-the-middle hücumu həyata keçirə bilən təcavüzkarın, TlsServerEndpoint Ed25519 kimi müasir imza alqoritmindən istifadə edən X.509 sertifikatını emal etdikdə, bağlantını kanal bağlamalı (channel binding) SCRAM-SHA-256-PLUS-dan standart kanalsız SCRAM-SHA-256-ya gizli şəkildə endirməsinə imkan verir; getChannelBindingData() funksiyası NoSuchAlgorithmException-dan sonra boş bayt massivi qaytara bilər və ScramClient qurucusu bunu kanal bağlama məlumatlarının olmaması kimi qəbul edir. Bu problem 3.3 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- com.ongres.scram:scram-client3.3 və ya daha yeni versiya
- com.ongres.scram:scram-common3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| com.ongres.scram:scram-clientMaven | v < 3.3 | 3.3 |
| com.ongres.scram:scram-commonMaven | v < 3.3 | 3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.