CVE-2026-107938
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-297
- KEV Durumu
- Hayır
Yayım tarihi: 9 Ekim 2026
Etkilenen: apache cxf
Apache CXF'de, Netty tabanlı HTTP istemci taşıma katmanı (cxf-rt-transports-http-netty-client), sunucunun TLS sertifikanındaki ana bilgisayar adının çağrılan ana bilgisayar ile eşleşip eşleşmediğini doğrulamadı. Bu, disableCNCheck değişkeni varsayılan değerine (yani false) ayarlanmış olsa bile HTTP/1.1 ve HTTP/2 üzerinde geçerliydi. Sertifika zinciri, yapılandırılan güven deposuna karşı doğrulandı, ancak uç noktanın kimliği doğrulanmadı. Ağ trafiklerini engelleyebilecek bir saldırgan, istemci tarafından güvenilen herhangi bir sertifikayı sunabilir, örneğin kontrol ettiği bir domaine ait kamu tarafından verilen bir sertifikayı sunabilir ve hedef hizmeti taklit edebilir. Ardından, değiştirilen mesajları, kimlik bilgilerini de dahil olmak üzere okuyabilir veya değiştirebilir. Kullanıcıların bu sorunu çözen 4.2.4, 4.1.9 veya 3.6.13 sürümlerine yükseltmeleri önerilir.
Orijinal açıklama (İngilizce)
In Apache CXF, the Netty-based HTTP client transport (cxf-rt-transports-http-netty-client) did not verify that the hostname in the server’s TLS certificate matched the host being called. This applied over both HTTP/1.1 and HTTP/2, even when disableCNCheck was left at its default value of false. The certificate chain was validated against the configured trust store, but the endpoint’s identity was not. A network attacker able to intercept traffic could present any certificate trusted by the client, such as a publicly issued certificate for a domain they control, and impersonate the target service. They could then read or modify the exchanged messages, including credentials. Users are recommended to upgrade to versions 4.2.4 or 4.1.9 or 3.6.13, which fix this issue.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.