CVE-2026-93649
Açıklama
Eclipse Adoptium web sitesinde (adoptium.net), 0b24ea1 (2025-06-18) commit'inden cbb53cf (2026-09-24) commit'indeki düzeltmeye kadar oluşturulan tüm dağıtımlarda, /[locale]/download indirme sonrası sayfası, "link" sorgu parametresinden bir indirme URL'si alır ve meta http-equiv="refresh" ile otomatik olarak bu adrese yönlendirir. URL, ham dize üzerinde String.startsWith() kullanılarak güvenilir önekler listesine göre kontrol edilirken; tarayıcı, yönlendirmeden önce RFC 3986 nokta-segment normalleştirmesini uygular. Bu nedenle, https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe gibi bir değer kontrolü geçer ancak saldırgan tarafından kontrol edilen bir depoya çözümlenir. Hazırlanmış bir adoptium.net bağlantısını takip eden kurbana gerçek "Eclipse Temurin'i indirdiğiniz için teşekkür ederiz" sayfası gösterilirken, tarayıcıları saldırganın seçtiği bir ikili dosyayı indirir.
Nasıl düzeltilir
- Eclipse Foundation Adoptium Temurin1f9753c ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Adoptium Temurin | v < 1f9753c | 1f9753c |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.