CVE-2026-93649
Təsvir
Eclipse Adoptium vebsaytında (adoptium.net), 0b24ea1 (2025-06-18) komitindən başlayaraq cbb53cf (2026-09-24) komitindəki düzəlişə qədər olan bütün tətbiqlərdə, /[locale]/download yükləmə sonrası səhifəsi "link" sorğu parametrindən yükləmə URL-ni götürür və meta http-equiv="refresh" vasitəsilə avtomatik olaraq həmin ünvana yönləndirir. URL, xam sətir üzərində String.startsWith() istifadə edilərək etibarlı prefikslər siyahısına qarşı yoxlanılır, lakin brauzer yönləndirmədən əvvəl RFC 3986 nöqtə-seqment normallaşdırmasını tətbiq edir. Buna görə də, https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe kimi bir dəyər yoxlamadan keçir, lakin hücumçunun nəzarət etdiyi repozitoriya ilə həll olunur. Xüsusi hazırlanmış adoptium.net linkinə daxil olan qurbana orijinal "Thank you for downloading Eclipse Temurin" səhifəsi göstərilir, eyni zamanda onların brauzeri hücumçunun seçdiyi binar faylı yükləyir.
Necə düzəltmək olar
- Eclipse Foundation Adoptium Temurin1f9753c və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Eclipse Foundation Adoptium Temurin | v < 1f9753c | 1f9753c |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.