CVE-2022-39368
Açıklama
Eclipse Californium, IoT Bulut hizmetleri için RFC7252 - Constrained Application Protocol'ün bir Java uygulamasıdır. 3.7.0 ve 2.7.4 öncesindeki sürümlerde Californium, Hizmet Reddi (Denial of Service) saldırısına karşı savunmasızdır. Başarısız el sıkışmalar (handshake), sınırlama (throttling) sayaçlarını temizlemez ve bu durum eşik değerinin tekrar serbest bırakılmadan ulaşılmasına neden olur. Bu da kayıtların kalıcı olarak düşürülmesiyle sonuçlanır. Sorun sertifika tabanlı el sıkışmalar için raporlanmıştır ancak PSK tabanlı el sıkışmaları da etkileyebilir. Genel olarak hem istemciyi hem de sunucuyu etkilemektedir. Bu sorun 3.7.0 ve 2.7.4 sürümlerinde düzeltilmiştir. Bilinen bir geçici çözüm yoktur. main: commit 726bac57659410da463dcf404b3e79a7312ac0b9 2.7.x: commit 5648a0c27c2c2667c98419254557a14bac2b1f3f
Nasıl düzeltilir
- eclipse californium2.7.4, 3.7.0 ya da sonraki bir sürüm
- org.eclipse.californium:scandium3.7.0, 2.7.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse californium | v < 2.7.4, 3.0.0 ≤ v < 3.7.0 | 2.7.4, 3.7.0 |
| org.eclipse.californium:scandiumMaven | 3.0.0 ≤ v < 3.7.0, 2.7.0 ≤ v < 2.7.4 | 3.7.0, 2.7.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.