CVE-2025-46551
Açıklama
JRuby-OpenSSL, Ruby OpenSSL yerel kütüphanesini emüle eden bir JRuby eklenti gem'idir. JRuby-OpenSSL sürüm 0.12.1 ile başlayıp 0.15.4 sürümünden önceki versiyonlarda (sırasıyla 9.3.4.0'dan başlayıp 9.4.12.1'den önce gelen ve 10.0.0.0'dan başlayıp 10.0.0.1'den önce gelen JRuby sürümlerine karşılık gelir), SSL sertifikaları doğrulanırken JRuby-OpenSSL, sertifikada sunulan ana bilgisayar adının kullanıcının bağlanmaya çalıştığı ana bilgisayar adı ile eşleşip eşleşmediğini doğrulamaz. Bu durum, aradaki bir saldırganın (man-in-the-middle) sahip olduğu tamamen farklı bir alan adı için herhangi bir geçerli sertifika sunabileceği ve JRuby'nin bu sertifikayı kabul edeceği anlamına gelir. Güvenli bağlantı için HTTPS'e güvenerek harici API'lere istek gönderen veya web kazıma yapan herkes bundan etkilenebilir. JRuby-OpenSSL sürüm 0.15.4, bu sorun için bir düzeltme içerir. Bu düzeltme, JRuby 10.0.0.1 ve 9.4.12.1 sürümlerine dahil edilmiştir.
Nasıl düzeltilir
- jruby jruby9.4.12.1 ya da sonraki bir sürüm
- jruby jruby-openssl0.15.4 ya da sonraki bir sürüm
- rubygems:jruby-openssl0.15.4 ya da sonraki bir sürüm
- org.jruby:jruby10.0.0.1, 9.4.12.1 ya da sonraki bir sürüm
- jruby-openssl0.15.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jruby jruby | 9.3.4.0 ≤ v < 9.4.12.1, 10.0.0.0 | 9.4.12.1 |
| jruby jruby-openssl | 0.12.1 ≤ v < 0.15.4 | 0.15.4 |
| rubygems:jruby-opensslMaven | 0.12.1 ≤ v < 0.15.4 | 0.15.4 |
| org.jruby:jrubyMaven | 10.0.0.0 ≤ v < 10.0.0.1, 9.3.4.0 ≤ v < 9.4.12.1 | 10.0.0.1, 9.4.12.1 |
| jruby-opensslRubyGems | 0.12.1 ≤ v < 0.15.4 | 0.15.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.