CVE-2026-115942
Niskie ryzyko· EPSS 3%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Błędnie skonfigurowany certyfikat wieloznaczny TLS powoduje przepełnienie odczytu stosu. Problem nie dotyczy certyfikatów wieloznacznych wystawionych zgodnie ze standardem RFC9525 — poprawka akceptuje wyłącznie certyfikaty zgodne z tym standardem. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
Ocena ryzyka
Przetwarzanie niepoprawnego certyfikatu może doprowadzić do przepełnienia stosu i awarii aplikacji, co może być wykorzystane do ataku typu denial of service.
Rekomendacja
Zaktualizuj Apache Qpid Proton C do wersji 0.41.1, która naprawia problem. Upewnij się, że używane certyfikaty wieloznaczne są zgodne z RFC9525.
Inne podatności w Apache Qpid Proton C
Zobacz wszystkie- CVE-2026-114230Niskie ryzyko· EPSS 19%
Podczas wysyłania ramek SASL w celu uwierzytelnienia peera Proton przetwarza również ramki AMQP, jeśli deklarują się jako ramki SASL. Umożliwia to obejście uwierzytelniania, choć nazwa użytkownika nie zostanie ustawiona, więc skutki zależą od obsługi tego stanu przez aplikację — oznacza to, że uwierzytelnianie nie zostało zakończone. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
- CVE-2026-105042Niskie ryzyko· EPSS 14%
Głęboko zagnieżdżone ciało wiadomości dekodowane przez pn_message_body() może spowodować przepełnienie stosu i awarię. Podatność dotyczy Apache Qpid Proton C do wersji 0.40.0 włącznie.
- CVE-2026-105031Niskie ryzyko· EPSS 3%
Podatność w bibliotece Apache Qpid Proton C (do wersji 0.40.0) dotyczy implementacji TLS OpenSSL. Funkcje pn_ssl_domain_set_trusted_ca_db() i pn_tls_config_set_trusted_certs() dodawały zaufane certyfikaty do domyślnych systemowych zamiast je zastępować, co mogło prowadzić do zaufania nieoczekiwanym certyfikatom peera.
Oryginalny opis (angielski, źródło NVD)
A misconfigured wildcard TLS certificate causes a stack read overflow. This issue does not affect any wildcard certificate issued to the RFC9525 standard - the fix only accepts certificates that comply to this standard. This issue affects Apache Qpid Proton C: through 0.40.0. Users are recommended to upgrade to version 0.41.1, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS