CVE-2018-5382
Açıklama
Varsayılan BKS keystore'u yalnızca 16 bit uzunluğunda bir HMAC kullanmaktadır ve bu durum bir saldırganın BKS keystore bütünlüğünü bozmasına olanak tanıyabilir. Bouncy Castle sürüm 1.47, BKS formatını bunun yerine 160 bitlik bir HMAC kullanan bir formata dönüştürmektedir. Bu durum, BC 1.47 öncesinde oluşturulan tüm BKS keystore'lar için geçerlidir. Dosyaların eski sistemlerle uyumluluk nedeniyle oluşturulması gereken durumlar için 1.49 sürümünde "BKS-V1" adlı özel bir keystore türü tanıtılmıştır. "BKS-V1" kullanımının kütüphane yazarları tarafından önerilmediği ve dosya bütünlük kontrolü için 16 bitlik bir sağlama toplamı (checksum) kullanımının kendi başına bir güvenlik sorununa yol açmayacağı güvenli durumlar dışında kullanılmaması gerektiği belirtilmelidir.
Nasıl düzeltilir
- org.bouncycastle:bcprov-jdk15on1.50 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bouncycastle bc-java | v ≤ 1.49 | — |
| redhat satellite | 6.4 | — |
| redhat satellite_capsule | 6.4 | — |
| org.bouncycastle:bcprov-jdk15onMaven | v < 1.50 | 1.50 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.