- Yama var
- CWE-918
CVE-2026-111761
A2A Java SDK'da push bildirim gönderiminde sunucu tarafı istek sahteciliği (SSRF)
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
A2A Java SDK, Agent2Agent (A2A) Protokolü için resmi Java SDK'sidir. 1.3.0.Final sürümünden önce, server-common içindeki BasePushNotificationSender, TaskPushNotificationConfig içinde belirtilen URL'ye görev verilerini hedef doğrulaması, şema kısıtlaması veya yönlendirme sınırı olmadan gönderiyordu. InMemoryPushNotificationConfigStore.setInfo URL'yi olduğu gibi saklıyor ve onCreateTaskPushNotificationConfig hedefi doğrulamıyor. Push bildirimlerinin etkin olduğu varsayılan dağıtımda, kimlik doğrulaması yapılmamış bir istemci, satır içi SendMessage yapılandırması veya mevcut bir görev için CreateTaskPushNotificationConfig üzerinden bir hedef kaydedebilir; bu durumda görev durumu ve yapıt güncellemeleri, yönlendirmenin izin verdiği ölçüde sunucunun ağ konumundan loopback, özel, link-local bulut meta veri, IPv6 unique-local, unspecified veya multicast hedeflerine istek gönderir. JdkA2AHttpClient ve VertxA2AHttpClient yönlendirmeleri takip eder; bu da bir webhook yönlendirmesinin oluşturma anındaki hedef kontrollerini atlatmasına ve POST isteğinin GET'e dönüşmesine izin verir. Ayrıca yalnızca ana bilgisayar adına dayanan kontroller DNS yeniden bağlama saldırılarını önlemez. Doğrudan POST gönderimi, saldırgan etkisindeki görev verilerini iç servislere iletebilir; yönlendirilmiş POST'tan GET'e dönüşen istek ise gövdeyi düşürür. Gönderici alınan yanıtı atar ve teslimat başarısını ya da başarısızlığını açığa çıkarmaz; bu nedenle gösterilen davranış yanıt okuma imkânı sağlamaz. Kimlik bilgisi veya kullanıcı etkileşimi gerekmez. Bu sorun 1.3.0.Final sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
A2A Java SDK is the official Java SDK for the Agent2Agent (A2A) Protocol. Prior to 1.3.0.Final, BasePushNotificationSender in server-common sends task data to the URL in TaskPushNotificationConfig without destination validation, scheme restrictions, or bounds on redirects. InMemoryPushNotificationConfigStore.setInfo stores the URL verbatim, and onCreateTaskPushNotificationConfig does not validate the destination. In the default deployment with push notifications enabled, an unauthenticated caller can register a destination through an inline SendMessage configuration or CreateTaskPushNotificationConfig for an existing task, causing task status and artifact updates to send requests from the server's network position to loopback, private, link-local cloud-metadata, IPv6 unique-local, unspecified, or multicast destinations where routing permits. JdkA2AHttpClient and VertxA2AHttpClient follow redirects, allowing a webhook redirect to bypass creation-time destination checks and convert a POST into a GET; hostname-only checks also do not prevent DNS rebinding. Direct POST delivery can push attacker-influenced task data into internal services, whereas a redirected POST-to-GET request drops the body. The sender discards the fetched response and does not expose delivery success or failure, so the demonstrated behavior does not provide response read-back. No credentials or user interaction are required. This issue is fixed in version 1.3.0.Final.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| a2aproject a2a-java | < 1.3.0.Final | 1.3.0.Final |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.