Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-295
  • CWE-297
  • CWE-636

CVE-2026-109408

vault-java-driver: SslConfig TLS doğrulamasını sessizce devre dışı bırakıyor

jopenlibs vault-java-driver

Yüksek 7,4 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Echo

Yönetici özeti

Bu uygulama, Vault üzerinde tutulan erişim anahtarlarını ve gizli bilgileri korumak için güvenli bağlantıya güveniyor. Bu güven bazı koşullarda sessizce ortadan kalkıyor ve saldırgan bu bilgileri ele geçirebilir. Güncelleme düşük maliyetli olduğundan, kısa sürede uygulanması önerilir.

ÖzetTürkçe

vault-java-driver, HashiCorp Vault için yazılmış bir Java istemcisidir. Üç durumda, doğrulama istendiği halde TLS sertifika ve sunucu adı doğrulaması sessizce kapanır: build çağrılmadan VaultConfig'e verilen SslConfig, Java serileştirmesiyle geri yüklenen SslConfig ve "true" dışındaki doğru değerlere (1, yes, on gibi) ayarlanmış VAULT_SSL_VERIFY ortam değişkeni. Etkilenen sürümler io.github.jopenlibs:vault-java-driver 5.2.0 ile 6.2.3 arasındadır.

Saldırgan ne yapabilir?

Ağ yolu üzerindeki bir saldırgan, Vault sunucusuna giden trafikteki token ve gizli verileri okuyabilir ve sahte yanıtlar üretebilir.

Kaynaktaki açıklama (İngilizce)

vault-java-driver, a Java client for HashiCorp Vault, silently disables TLS certificate and hostname verification in three states where the caller asked for verification: an SslConfig passed to VaultConfig without calling build(), an SslConfig restored by Java deserialization, and VAULT_SSL_VERIFY set to a truthy value other than "true", such as 1, yes or on. In each case SslConfig.isVerify() returns false and the driver installs a trust-all SSLContext. An attacker on the network path to the Vault server can then read the Vault token and secrets in transit and forge responses. This issue affects io.github.jopenlibs:vault-java-driver 5.2.0 through 6.2.3. It is fixed in 7.0.0.

Üreticinin çözüm notu (İngilizce)

Upgrade io.github.jopenlibs:vault-java-driver to 7.0.0 or later.

Ne yapmalı?

  1. io.github.jopenlibs:vault-java-driver kütüphanesini 7.0.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncellemeden önce, uygulamada SslConfig nesnelerinin build çağrılmadan kullanılıp kullanılmadığını, serileştirme ile geri yüklenip yüklenmediğini ve VAULT_SSL_VERIFY ortam değişkeninin ayarlanıp ayarlanmadığını gözden geçirin. Genel öneri
  3. Güncelleme sonrasında Vault bağlantısının sertifika doğrulamasıyla çalıştığını test edin. Genel öneri

Ek önlemler

  • Vault istemcisi ile sunucu arasındaki bağlantıyı yalnızca güvenilen ağlarda veya şifreli kanallar üzerinden kurun. Genel öneri
  • Vault token'larını ve gizli verileri kısa ömürlü tutun ve olası bir ele geçirme durumunda döndürme (rotation) planı hazır bulundurun. Genel öneri
  • Beklenmedik TLS sertifika değişikliklerini ve Vault erişim kayıtlarındaki olağandışı davranışları izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
jopenlibs vault-java-driver ≥ 5.2.0, < 7.0.0 7.0.0

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.