CVE-2026-26214
Açıklama
Galaxy FDS Android SDK (XiaoMi/galaxy-fds-sdk-android) sürüm 3.0.8 ve öncesinde, HTTPS etkinleştirildiğinde (varsayılan yapılandırma) TLS ana bilgisayar adı doğrulaması devre dışı bırakılmaktadır. GalaxyFDSClientImpl.createHttpClient() içerisinde SDK, Apache HttpClient'ı SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER ile yapılandırır; bu durum, ana bilgisayar adı uyuşmazlığına bakılmaksızın herhangi bir geçerli TLS sertifikasının kabul edilmesine neden olur. FDSClientConfiguration'da HTTPS varsayılan olarak etkin olduğu için, SDK'yı varsayılan ayarlarla kullanan tüm uygulamalar etkilenmektedir. Bu güvenlik açığı, ortadaki adam (man-in-the-middle) saldırganının, Xiaomi FDS bulut depolama uç noktalarıyla olan SDK iletişimini yakalamasına ve değiştirmesine izin vererek kimlik doğrulama bilgilerini, dosya içeriklerini ve API yanıtlarını potansiyel olarak ifşa eder. XiaoMi/galaxy-fds-sdk-android açık kaynak projesi yaşam döngüsünün sonuna (end-of-life) ulaşmıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Xiaomi Technology Co., Ltd. Galaxy FDS Android SDK | v ≤ 3.0.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.