CVE-2026-84736
Açıklama
Henüz resmi bir sürümü yayınlanmamış olan Eclipse aeriOS'un mevcut geliştirme versiyonunda, Federator bileşeni giden HTTPS bağlantıları için TLS sertifika doğrulamasını varsayılan olarak devre dışı bırakmaktadır. TLS_CERTIFICATE_VALIDATION ortam değişkeni tanımlanmadığında veya false olarak ayarlandığında, bileşen HTTP taşımasını TLS sertifika doğrulamasını atlayacak şekilde yapılandırır. Sonuç olarak, Federator ile harici servisler arasındaki ağ iletişimini kesebilen bir saldırgan, bu servislerin kimliğine bürünebilir ve OAuth istemci kimlik bilgileri ile taşıyıcı tokenlar da dahil olmak üzere HTTPS üzerinden iletilen hassas bilgileri ele geçirebilir. Sorun, TLS sertifika doğrulaması varsayılan olarak etkinleştirilerek giderilmiştir. TLS_CERTIFICATE_VALIDATION ortam değişkeni artık Helm chart ve Docker Compose dağıtımı tarafından sağlanan varsayılan yapılandırmada true olarak ayarlanmıştır.
Nasıl düzeltilir
- Eclipse Foundation Eclipse aeriOS9c63b60becc9873b0195ff9cd6582b69cb12d4f2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse aeriOS | d730017a4a0e2a31feba6258bd780efbce7e0d5d ≤ v < 9c63b60becc9873b0195ff9cd6582b69cb12d4f2 | 9c63b60becc9873b0195ff9cd6582b69cb12d4f2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.