- Yama var
- Son 7 gün
- CWE-522
CVE-2026-73116
Apache Juneau REST istemcisi yönlendirmelerde kimlik bilgilerini farklı kaynağa iletiyor
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, uygulamaların sistemlere erişmek için kullandığı gizli anahtar ve oturum bilgilerinin üçüncü taraflara sızmasına yol açabilir. Saldırı kolay gerçekleştirilebildiği ve ciddiyeti kritik olarak değerlendirildiği için öncelikli olarak giderilmelidir. Etkilenen uygulamaların kısa sürede güncellenmesi önerilir.
ÖzetTürkçe
Apache Juneau RestClient, HTTP yönlendirmelerini takip ederken orijinal istekteki kimlik bilgisi içeren başlıkları koruyor. Sunucu istemciyi farklı bir ana makineye, bağlantı noktasına veya HTTPS'ten HTTP'ye yönlendirdiğinde bu başlıklar üçüncü tarafa gönderilebiliyor. Etkilenen sürümler 9.2.0 ve öncesidir; RestClient oluşturucusuyla üretilen HTTP istemcileri etkilenir.
Saldırgan ne yapabilir?
Saldırgan, istemciyi kontrol ettiği bir sunucuya yönlendirerek Authorization, Cookie, Proxy-Authorization ve X-API-Key gibi başlıklardaki kimlik bilgilerini ele geçirebilir. Bu bilgilerle hedef sistemde yetkisiz işlem yapılabilir.
Kaynaktaki açıklama (İngilizce)
Insufficiently Protected Credentials vulnerability in Apache Juneau.
The Apache Juneau RestClient followed HTTP redirects while keeping credential headers from the original request, so a server that redirected the client to a different host or port, or from HTTPS to HTTP, could receive headers such as Authorization, Cookie, Proxy-Authorization and X-API-Key.
This issue affects Apache Juneau: through 9.2.0.
Users are recommended to upgrade to version 9.2.1, which fixes the issue. The fix applies to HTTP clients created by the RestClient builder; applications that supply their own HttpClient must disable automatic redirects or strip credential headers on cross-origin redirects themselves.
Ne yapmalı?
- Apache Juneau'yu 9.2.1 veya üzeri bir sürüme yükseltin. Üretici
- RestClient oluşturucusu dışında kendi HttpClient örneğini kullanan uygulamalarda, otomatik yönlendirmeleri kapatın veya yönlendirme sırasında farklı kaynaklara giden isteklerden kimlik bilgisi başlıklarını kendiniz temizleyin. Üretici
- Yükseltme sonrasında uygulamanın kimlik bilgisi gerektiren istemci çağrılarını test edin ve gerekirse kullanılan erişim anahtarlarını yenileyin. Genel öneri
Ek önlemler
- Dış servislere yapılan istemci isteklerinde yönlendirme davranışını izleyin ve beklenmeyen ana makine değişikliklerini kaydedin. Genel öneri
- Hassas API anahtarlarını ve oturum çerezlerini, olası sızıntıya karşı periyodik olarak yenileyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Juneau | < 9.2.1 | 9.2.1 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.