CVE-2026-111761

اسم البرنامج المصاب والإصدارات المتأثرة A2A Java SDK الإصدارات السابقة لـ 1.3.0.Final

Description يمكن لجهة غير مصرح لها إجبار الخادم على إرسال طلبات HTTP إلى نقاط نهاية داخلية عشوائية ونقاط نهاية بيانات وصفية سحابية من موقع الشبكة الخاص بالخادم. يحدث هذا لأن BasePushNotificationSender في server-common يرسل بيانات المهمة إلى URL في TaskPushNotificationConfig دون التحقق من الوجهة، أو قيود على المخطط (scheme)، أو حدود على عمليات إعادة التوجيه. بالإضافة إلى ذلك، يقوم InMemoryPushNotificationConfigStore.setInfo بتخزين URL كما هو، ولا يقوم onCreateTaskPushNotificationConfig بالتحقق من الوجهة.

التفاصيل الفنية تشمل:

يقوم كل من JdkA2AHttpClient و VertxA2AHttpClient باتباع عمليات إعادة التوجيه، مما يسمح للمهاجمين بتجاوز فحوصات وقت الإنشاء وتحويل طلب POST إلى طلب GET. يتيح ذلك الوصول إلى نقاط النهاية التي تقبل طلبات GET فقط، مثل خدمات البيانات الوصفية السحابية. علاوة على ذلك، فإن الفحوصات التي تعتمد على اسم المضيف فقط لا تمنع DNS rebinding. بينما يمكن لتسليم POST المباشر دفع بيانات يؤثر عليها المهاجم إلى الخدمات الداخلية، فإن الطلبات المعاد توجيهها تسقط محتوى الطلب (body). يقوم الخادم بتجاهل الاستجابة، مما يعني عدم إمكانية قراءة البيانات من قبل المهاجم.

Recommendations تحديث A2A Java SDK إلى الإصدار 1.3.0.Final. كإجراء مؤقت، قم بحظر حركة المرور الخارجية للمضيف إلى نقطة نهاية البيانات الوصفية ونطاقات الشبكة الداخلية على مستوى طبقة الشبكة.