CVE-2025-59432
Açıklama
SCRAM (Salted Challenge Response Authentication Mechanism), Simple Authentication and Security Layer (SASL, RFC 4422) kimlik doğrulama mekanizmaları ailesinin bir parçasıdır. Versiyon 3.2 öncesinde, SCRAM Java uygulamasında bir zamanlama saldırısı zafiyeti bulunmaktadır. Sorun, istemci kanıtları ve sunucu imzaları gibi gizli değerleri karşılaştırmak için Arrays.equals kullanılması nedeniyle ortaya çıkmaktadır. Arrays.equals kısa devreleme (short-circuit) karşılaştırması gerçekleştirdiğinden, yürütme süresi eşleşen baştaki bayt sayısına göre değişiklik göstermektedir. Bu durum, bir saldırganın zamanlama yan kanal saldırısı gerçekleştirmesine ve potansiyel olarak hassas kimlik doğrulama materyallerini anlamasına olanak tanıyabilir. SCRAM kimlik doğrulamasına güvenen tüm kullanıcılar etkilenmektedir. Bu zafiyet, sabit zamanlı karşılaştırma sağlayan MessageDigest.isEqual ile Arrays.equals'in değiştirilmesiyle versiyon 3.1'de yamalanmıştır.
Nasıl düzeltilir
- com.ongres.scram:scram-common3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| com.ongres.scram:scram-commonMaven | v < 3.2 | 3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.