CVE-2018-17187

Apache Qpid Proton-J taşıma katmanı, 'transport.ssl(...)' yöntemlerinin kullanımıyla etkinleştirilen ve TLS gerçekleştirmek için isteğe bağlı bir sarmalayıcı katman içerir. Açıkça bir doğrulama modu yapılandırılmadığı sürece, istemci ve sunucu modları daha önce belgelendiği üzere varsayılan olarak eş sertifikasını doğrulamayacak şekilde ayarlanmıştı; bunu açıkça yapılandırmak veya ana bilgisayar adı doğrulaması yapılan ya da yapılmayan bir sertifika doğrulama modu seçmek için seçenekler mevcuttu. Söz konusu ana bilgisayar adı doğrulama modu, Apache Qpid Proton-J 0.3 ile 0.29.0 sürümlerinde uygulanmamıştı ve bu modu kullanma girişimleri bir istisna (exception) ile sonuçlanıyordu. Bu durum, yalnızca sertifikanın güvenilir olduğunun doğrulanması seçeneğini bırakarak, böyle bir istemciyi Ortadaki Adam (MITM) saldırısına karşı savunmasız hale getiriyordu. İsteğe bağlı taşıma TLS sarmalayıcısını kullanmayan Proton-J protokol motoru kullanımları (örneğin Qpid JMS içindeki kullanım) etkilenmemektedir. İsteğe bağlı taşıma TLS sarmalayıcı katmanını kullanan ve ana bilgisayar adı doğrulamasını etkinleştirmek isteyen Proton-J kullanımlarının, 0.30.0 veya daha yeni bir sürüme yükseltilmesi ve aksi yapılandırılmadıkça artık istemci modu kullanımı için varsayılan olan VerifyMode#VERIFY_PEER_NAME yapılandırmasının kullanılması gerekmektedir.