- Yama var
- CWE-532
CVE-2026-111762
A2A Java SDK'da push bildirimi kimlik bilgileri protobuf ayrıştırma hatasında düz metin olarak loglanıyor
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
A2A Java SDK, Agent2Agent (A2A) Protokolü için resmi Java SDK'sidir. 1.3.0.Final sürümünden önce, transport/rest/src/main/java/org/a2aproject/sdk/transport/rest/handler/RestHandler.java dosyasındaki RestHandler.parseRequestBody metodu, JsonFormat.parser.merge InvalidProtocolBufferException fırlattığında tüm JSON istek gövdesini SEVERE seviyesinde loglamaktadır. Push bildirimleri etkinleştirildiğinde, /v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs adresine yapılan istekler için createTaskPushNotificationConfiguration bu ayrıştırıcıya ulaşır; bu isteklerin token ve authentication.credentials alanları, istemcinin push bildirim uç noktaları için taşıyıcı (bearer) token'ları ve kimlik doğrulama bilgileri içerebilir. Geçerli bir JSON gövdesi protobuf deserileştirmesinde başarısız olduğunda (katı ayrıştırma altında bilinmeyen bir alan veya şema uyuşmazlığı dahil) bu gizli bilgiler düz metin olarak sunucu günlüklerine yazılır. Sunucu günlüklerine veya bir günlük toplama sistemine erişimi olan bir saldırgan kimlik bilgilerini elde edebilir ve bu bilgileri kullanarak istemcinin push bildirim uç noktasına sahte görev durumu güncellemeleri gönderebilir. Bu sorun 1.3.0.Final sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
A2A Java SDK is the official Java SDK for the Agent2Agent (A2A) Protocol. Prior to 1.3.0.Final, RestHandler.parseRequestBody in transport/rest/src/main/java/org/a2aproject/sdk/transport/rest/handler/RestHandler.java logs the entire JSON request body at SEVERE level when JsonFormat.parser().merge() throws InvalidProtocolBufferException. With push notifications enabled, createTaskPushNotificationConfiguration reaches this parser for requests to /v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs, whose token and authentication.credentials fields can contain bearer tokens and authentication credentials for client push endpoints. A valid JSON body that fails protobuf deserialization, including an unknown field under strict parsing or a schema mismatch, causes those secrets to be written to the server logs in cleartext. An attacker with access to the server logs or a log aggregation system can retrieve the credentials and potentially use the credentials to send forged task status updates to the client's push notification endpoint. This issue is fixed in version 1.3.0.Final.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| a2aproject a2a-java | < 1.3.0.Final | 1.3.0.Final |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.