CVE-2026-109408
Açıklama
vault-java-driver, HashiCorp Vault için bir Java istemcisi olup, çağıranın doğrulama talep ettiği üç durumda TLS sertifika ve ana makine adı doğrulamasını sessizce devre dışı bırakır: build() çağrılmadan VaultConfig'e iletilen bir SslConfig, Java serileştirme kaldırma ile geri yüklenen bir SslConfig ve "true" dışında 1, yes veya on gibi doğru kabul edilen bir değere ayarlanmış VAULT_SSL_VERIFY. Her durumda SslConfig.isVerify() false döner ve sürücü tümüne güvenen bir SSLContext yükler. Vault sunucusuna giden ağ yolundaki bir saldırgan daha sonra Vault token'ını ve sırları aktarım sırasında okuyabilir ve yanıtları sahteleyebilir. Bu sorun io.github.jopenlibs:vault-java-driver 5.2.0 ile 6.2.3 sürümlerini etkiler. 7.0.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- jopenlibs vault-java-driver7.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jopenlibs vault-java-driver | 5.2.0 ≤ v < 7.0.0 | 7.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.