CVE-2021-44549
Açıklama
Apache Sling Commons Messaging Mail, OSGi'nin SMTPS üzerinden e-posta göndermesi için JavaMail/Jakarta Mail üzerinde basit bir katman sağlar. "Ortadaki adam" (man in the middle) saldırıları riskini azaltmak için, posta sunucularına erişirken ek sunucu kimliği kontrollerinin yapılması gerekir. Uyumluluk nedenleriyle bu ek kontroller JavaMail/Jakarta Mail'de varsayılan olarak devre dışıdır. Apache Sling Commons Messaging Mail 1.0 içindeki SimpleMailService, paylaşılan posta oturumu için bu kontrolleri etkinleştirecek bir seçenekten yoksundur. Bir kullanıcı, SimpleMessageBuilder tarafından oluşturulan mesaj aracılığıyla oturuma erişip mail.smtps.ssl.checkserveridentity özelliğini true olarak ayarlayarak yine de bu kontrolleri etkinleştirebilir. Apache Sling Commons Messaging Mail 2.0, sunucu kimliği kontrollerinin etkinleştirilmesi için destek ekler ve bu kontroller varsayılan olarak etkindir. - https://javaee.github.io/javamail/docs/SSLNOTES.txt - https://javaee.github.io/javamail/docs/api/com/sun/mail/smtp/package-summary.html - https://github.com/eclipse-ee4j/mail/issues/429
Nasıl düzeltilir
- org.apache.sling:org.apache.sling.commons.messaging.mail2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache sling_commons_messaging_mail | 1.0.0 | — |
| org.apache.sling:org.apache.sling.commons.messaging.mailMaven | v < 2.0 | 2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.