CVE-2026-15243
Açıklama
Apereo CAS Client, istemcinin çağırdığı URL yapılandırılmış izin listesiyle veya düzenli ifadeyle (regex) eşleştiği sürece, herhangi bir ana makine adı için CA tarafından güvenilen her türlü sertifikayı kabul eder. MITM konumunda olan bir saldırgan (DNS zehirlemesi, sahte Wi-Fi, kötü amaçlı proxy vb.), yapılandırılmış izin listesiyle veya düzenli ifadeyle eşleşen bir ana makine adı için CA imzalı herhangi bir sertifika sunabilir. Bu durum; CAS değişiminin önlenmesine, Bilet Verici Bilet'in (TGT) ele geçirilmesine ve ardından mağdur adına Hizmet Biletleri elde edilmesine yol açabilir. Bakım sorumlularıyla iletişim kurma girişimleri başarısız olduğu için zafiyetler yalnızca sürüm 4.1.0 (Java Apereo CAS Client) ve 3.6.4 (Jasig CAS Client) sürümlerinde onaylanmıştır ancak diğer sürümleri de etkileyebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apereo Java Apereo CAS Client | 4.1.0 | — |
| Apereo Jasig CAS Client | 3.6.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.