- Yama var
- Son 7 gün
- CWE-248
CVE-2026-89316
Eclipse GOSE'da LoadPublicKey, kty/alg uyuşmazlığında panik oluşturuyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- eclipse
ÖzetTürkçe
LoadPublicKey, bir EC anahtarının eğrisini kontrol edilmeyen bir tür dönüşümü (unchecked type assertion) ile, yani algToOptsMap[alg].(*ECDSAOptions) ifadesiyle belirliyordu. RFC 7517 §4.4'e göre izin verilen, "kty":"EC" değerine sahip ancak EC olmayan bir "alg" içeren bir JWK, bu dönüşüme ulaşır ve **panik** (panic) oluşturur.
Kaynaktaki açıklama (İngilizce)
LoadPublicKey resolved an EC key's curve with an unchecked type assertion, algToOptsMap[alg].(*ECDSAOptions). A JWK declaring "kty":"EC" together with a non-EC "alg" — which RFC 7517 §4.4 permits — reaches that assertion and **panics**.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse KeyPont - GOSE | ≥ 0.7.3, ≤ 0.13.0-rc1 | – |
| < 1.0.0-rc4 | 1.0.0-rc4 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.