CVE-2026-53712
Açıklama
SCRAM (Salted Challenge Response Authentication Mechanism), Simple Authentication and Security Layer (SASL, RFC 4422) kimlik doğrulama mekanizmaları ailesinin bir parçasıdır. 3.3 sürümünden önce, com.ongres.scram:scram-client ve com.ongres.scram:scram-common bileşenlerindeki bir hata, TLS ortadaki adam (man-in-the-middle) saldırısı gerçekleştirebilen bir saldırganın, TlsServerEndpoint Ed25519 gibi modern bir imza algoritması kullanan bir X.509 sertifikasını işlediğinde, bağlantıyı kanal bağlamalı (channel binding) SCRAM-SHA-256-PLUS'tan kanal bağlamsız standart SCRAM-SHA-256'ya sessizce düşürmesine olanak tanır; getChannelBindingData() fonksiyonu NoSuchAlgorithmException sonrası boş bir bayt dizisi döndürebilir ve ScramClient oluşturucusu bunu eksik kanal bağlama verisi olarak değerlendirir. Bu sorun 3.3 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
- com.ongres.scram:scram-client3.3 ya da sonraki bir sürüm
- com.ongres.scram:scram-common3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| com.ongres.scram:scram-clientMaven | v < 3.3 | 3.3 |
| com.ongres.scram:scram-commonMaven | v < 3.3 | 3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.