☕ Java'da yeni sıkıntı: sızan eMudhra sertifikalarını engelleyen "blocked.certs" listesi yeniden kodlamayla atlatılabiliyor

Kod · Code
, , ,
1

Oracle’ın geçen hafta yayımladığı acil Java yaması, anahtarları sızan eMudhra ara sertifikalarını engelliyordu (o yama ve CVE-2026-91403). Sonatype araştırmacıları 21 Ekim 2026’da bu engelin tek başına yeterli olmadığını gösterdi. Kontrol tarihi: 24 Ekim 2026 (TR).

Önce kısaca: blocked.certs nedir?

Java, güvenmediği sertifikaları blocked.certs adlı bir listede tutar. Liste sertifikaları SHA-256 parmak iziyle tanır. Parmak izi, sertifikanın bayt bayt kodlanmış haline göre hesaplanır: tek bir bayt değişse parmak izi de değişir.

Sorun ne?

  • Sonatype, engellenen eMudhra ara sertifikalarının aynı imzayı koruyarak farklı kodlanmış kopyalarını üretti. Yeni kopyaların parmak izi farklı olduğu için listeye takılmadı, ama Java’nın doğrulamasından yine de geçti.
  • İki yöntem gösterildi:
    • ECDSA imzalı sertifikada imza değeri s, matematiksel olarak eşdeğer n − s ile değiştirildi.
    • RSA imzalı sertifikada dış imza algoritması alanındaki NULL parametresi silindi; imzalanan veri değişmedi.
  • İki yöntem de özel anahtar gerektirmiyor. Yani sızan sertifikalar “engellendi” sanılırken farklı biçimde yeniden kullanılabilir.
  • Sonatype sonuçların yalnızca test ettiği JDK sürümleri ve güven deposu ayarları için geçerli olduğunu belirtiyor; bir CVE numarası ya da Oracle açıklaması henüz yok.

Java geliştiricisi ve sunucu yöneticisi ne yapmalı?

  1. Önce Oracle’ın Ekim yamalarını uygula. Bu yine de şart: Oracle acil yaması ve 1.295 açık
  2. Tek kontrol olarak parmak izi listesine güvenme. Sonatype’ın testlerinde ilgili kök sertifikaları güven deposundan çıkarmak, yeniden kodlanmış iki zinciri de reddetti.
  3. Ama dikkat: kök sertifika kaldırmak meşru TLS bağlantılarını da bozabilir. Önce bu köke bağlı servisleri bul, zincirleri test et, sonra değiştir ve TLS hatalarını izle.
  4. Java dışındaki çalışma ortamlarını (Node.js, Python, işletim sistemi deposu) ayrı ayrı kontrol et; her birinin engelleme yöntemi farklı.

Kendi Java ortamında güven deposunda hangi sertifikaların olduğunu görmek için JDK ile gelen keytool -list -cacerts komutu kullanılabilir.

Kaynaklar: Sonatype araştırması (21 Ekim 2026), Oracle Ekim 2026 Kritik Yama Güncellemesi, SiberNöbet önceki haberi: /t/175. Kontrol tarihi: 24 Ekim 2026.