CVE-2026-105031
Niskie ryzyko· EPSS 3%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Apache Qpid Proton C (do wersji 0.40.0) dotyczy implementacji TLS OpenSSL. Funkcje pn_ssl_domain_set_trusted_ca_db() i pn_tls_config_set_trusted_certs() dodawały zaufane certyfikaty do domyślnych systemowych zamiast je zastępować, co mogło prowadzić do zaufania nieoczekiwanym certyfikatom peera.
Ocena ryzyka
Organizacja może zaakceptować połączenia TLS od niezaufanych stron, co zwiększa ryzyko ataku man-in-the-middle i nieautoryzowanego dostępu do danych.
Rekomendacja
Zaktualizuj Apache Qpid Proton C do wersji 0.41.1 lub nowszej. Jako obejście ustaw zmienną środowiskową SSL_CERT_FILE na /dev/null dla aplikacji.
Inne podatności w Apache Qpid Proton C
Zobacz wszystkie- CVE-2026-115942Niskie ryzyko· EPSS 3%
Błędnie skonfigurowany certyfikat wieloznaczny TLS powoduje przepełnienie odczytu stosu. Problem nie dotyczy certyfikatów wieloznacznych wystawionych zgodnie ze standardem RFC9525 — poprawka akceptuje wyłącznie certyfikaty zgodne z tym standardem. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
- CVE-2026-114230Niskie ryzyko· EPSS 19%
Podczas wysyłania ramek SASL w celu uwierzytelnienia peera Proton przetwarza również ramki AMQP, jeśli deklarują się jako ramki SASL. Umożliwia to obejście uwierzytelniania, choć nazwa użytkownika nie zostanie ustawiona, więc skutki zależą od obsługi tego stanu przez aplikację — oznacza to, że uwierzytelnianie nie zostało zakończone. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
- CVE-2026-105042Niskie ryzyko· EPSS 14%
Głęboko zagnieżdżone ciało wiadomości dekodowane przez pn_message_body() może spowodować przepełnienie stosu i awarię. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
When using the OpenSSL TLS implementation, both the pn_ssl_domain_set_trusted_ca_db() & pn_tls_config_set_trusted_certs() APIs added to rather than replaced the default system trust anchors. Leading to potentially trusting unexpected peer certificates. This can be worked around by setting the SSL_CERT_FILE environment variable for the application to /dev/null. This issue does not affect the Win32 SChannel TLS implementation. This issue affects Apache Qpid Proton C: through 0.40.0. Users are recommended to upgrade to version 0.41.1, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS