CVE-2018-16115
Açıklama
2.5.16 öncesindeki Lightbend Akka 2.5.x sürümleri, bir RNG hatası nedeniyle mesajların ifşa edilmesine ve değiştirilmesine izin verir. Akka Remoting'de TLS için (hem klasik hem de Artery Remoting) bir rastgele sayı üreteci kullanılır. Akka, özel rastgele sayı üreteçlerinin yapılandırılmasına izin verir. Tarihsel nedenlerle Akka, AES128CounterSecureRNG ve AES256CounterSecureRNG rastgele sayı üreteçlerini dahil etmiştir. Bu uygulamalardaki bir hata, üretilen sayıların yalnızca birkaç bayt sonra tekrarlanmasına neden olmuştur. Özel RNG uygulamaları varsayılan olarak yapılandırılmamıştır ancak dokümantasyondaki örnekler bunların kullanılmasını göstermiş (ve dolayısıyla örtük olarak önermiştir). Eğer bu rastgele sayı üreteçleri yapılandırmada etkinleştirilmişse, bir saldırgan bunu iletişimi tehlikeye atmak için kullanabilir. Akka Remoting/Cluster ile gönderilen mesajların gizlice dinlenmesi, yeniden oynatılması veya değiştirilmesi mümkün olabilir.
Nasıl düzeltilir
- lightbend akka2.5.16 ya da sonraki bir sürüm
- com.typesafe.akka:akka-actor_2.112.5.16 ya da sonraki bir sürüm
- com.typesafe.akka:akka-actor_2.122.5.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lightbend akka | 2.5.0 ≤ v < 2.5.16 | 2.5.16 |
| com.typesafe.akka:akka-actor_2.11Maven | 2.5.0 ≤ v < 2.5.16 | 2.5.16 |
| com.typesafe.akka:akka-actor_2.12Maven | 2.5.0 ≤ v < 2.5.16 | 2.5.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.