javafix

Java प्रमाणपत्र भेद्यता (CVE-2026-91403) ब्लॉकलिस्ट-आधारित अस्थायी उपाय उपकरण — Windows / macOS

PC पर स्थापित सभी Java (Minecraft लॉन्चर, मॉड लॉन्चर, डेवलपमेंट टूल, स्वयं स्थापित JDK) को खोजता है, और जाँचता है कि OpenJDK द्वारा सुझाया गया अस्थायी उपाय (ब्लॉकलिस्ट में समस्या वाले 16 प्रमाणपत्र जोड़ना) किया गया है या नहीं। उपयोगकर्ता की सहमति होने पर, छूटे हुए आइटम जोड़ता है। चुनने पर, प्रत्येक Java को वास्तव में चलाकर यह भी जाँचता है कि नकली प्रमाणपत्र वास्तव में अस्वीकार किए जाते हैं या नहीं।

यह उपकरण पूर्ण समाधान नहीं है। यह Java को अपडेट नहीं करता, ट्रस्ट स्टोर (cacerts) को ठीक नहीं करता, और प्रमाणपत्र निरसन जाँच (revocation check) को चालू नहीं करता। मूल समाधान Java और लॉन्चर को संशोधित संस्करण में अपडेट करना है। अधिक जानकारी के लिए 3. इस उपकरण की सीमाएँ पढ़ें।

बिना किसी बाहरी लाइब्रेरी के, केवल Rust मानक लाइब्रेरी से बनाया गया है, इसलिए src/ और probe/ फ़ोल्डर पढ़कर ही यह पता लगाया जा सकता है कि यह क्या करता है।

English: see English below.

---

विषय-सूची

1. यह कौन-सी भेद्यता है?
2. यह उपकरण क्या करता है
3. इस उपकरण की सीमाएँ
4. डाउनलोड और निष्पादन
5. निष्पादन स्क्रीन का क्रम
6. परिणाम प्रदर्शन का अर्थ
7. वास्तविक कनेक्शन जाँच
8. पूर्ववत करना
9. कमांड-लाइन विकल्प
10. जाँच के स्थान
11. अक्सर पूछे जाने वाले प्रश्न
12. स्वयं बिल्ड करना
13. लाइसेंस

---

1. यह कौन-सी भेद्यता है?

अक्टूबर 2026 में, यह पता चला कि प्रमाणन प्राधिकरण eMudhra के 8 मध्यवर्ती प्रमाणपत्रों की निजी कुंजी कोई भी प्राप्त कर सकता है। उसी कुंजी से Sectigo "AAA Certificate Services" द्वारा क्रॉस-साइन किए गए प्रमाणपत्रों को मिलाकर कुल 16 हैं।

अन-संशोधित Java इन प्रमाणपत्रों पर भरोसा करता है, इसलिए यदि हमलावर उसी नेटवर्क (सार्वजनिक Wi-Fi आदि) पर है, तो वह किसी भी साइट के रूप में प्रतिरूपित नकली प्रमाणपत्र बना सकता है और Java उसे असली के रूप में स्वीकार कर लेता है। उदाहरण के लिए, Minecraft लॉगिन (सत्र) सर्वर या मॉड डाउनलोड सर्वर के रूप में प्रतिरूपण किया जा सकता है।

OpenJDK द्वारा सुझाए गए उपाय निम्नलिखित तीन में से एक हैं।

आधिकारिक उपाय	यह उपकरण
Java को संशोधित संस्करण में अपडेट करें (Oracle/OpenJDK के अनुसार 25.0.5.0.2, 21.0.13.0.2, 17.0.21.0.2, 11.0.33.0.2, 8u511 या उससे ऊपर)	❌ नहीं करता (केवल मार्गदर्शन)
blocked.certs (Java 8 में blacklisted.certs) से समस्या वाले प्रमाणपत्रों को ब्लॉक करें	✅ 16 जोड़ता है
प्रमाणपत्र निरसन जाँच चालू करें (-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true)	❌ नहीं करता (कारण)

संदर्भ सामग्री

• OpenJDK सुरक्षा सूचना: https://openjdk.org/groups/vulnerability/advisories/2026-10-21
• Oracle सुरक्षा चेतावनी: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
• प्रमाणपत्र सूची और परीक्षण साइट: https://emudhra.we-have-a-problem.com/ (impacted-intermediates.json)

2. यह उपकरण क्या करता है

चरण	विवरण	इंटरनेट
फ़ाइल जाँच	मिले प्रत्येक Java के लिए lib/security/blocked.certs (Java 8 में blacklisted.certs) और release फ़ाइल पढ़कर देखता है कि 16 प्रमाणपत्र ब्लॉक सूची में हैं या नहीं।	उपयोग नहीं
वास्तविक कनेक्शन जाँच (वैकल्पिक)	प्रत्येक Java को वास्तव में चलाकर 2 परीक्षण साइटों और Mojang सेशन सर्वर से कनेक्ट करके देखता है कि नकली प्रमाणपत्र अस्वीकार किए जाते हैं या नहीं। विस्तार से	केवल यह चरण उपयोग करता है
ब्लॉक सूची में जोड़ना	केवल छूटे हुए प्रमाणपत्र फ़िंगरप्रिंट को फ़ाइल के अंत में जोड़ता है। मौजूदा पंक्तियों को न हटाता है न बदलता है, और मूल को blocked.certs.bak-cve-2026-91403 के रूप में बैकअप करता है। जोड़ने के बाद फ़ाइल को फिर से पढ़कर जाँचता है।	उपयोग नहीं
वापस लौटाना	बैकअप को मूल स्थान पर कॉपी करता है।	उपयोग नहीं

• सहमति: जाँच, वास्तविक कनेक्शन जाँच, ब्लॉक सूची में जोड़ने, और व्यवस्थापक अधिकार के उपयोग से पहले प्रत्येक के लिए Y दर्ज करना होगा तभी आगे बढ़ेगा। अन्य सभी इनपुट "नहीं" माने जाते हैं।
• लॉग: Windows में %LOCALAPPDATA%\JavaFix, macOS में ~/Library/Logs/JavaFix में क्या जाँचा और क्या बदला गया, इसका रिकॉर्ड रखता है।
• केवल समस्या वाले 16 प्रमाणपत्र ही ब्लॉक होते हैं, इसलिए सामान्य वेबसाइट, Minecraft कनेक्शन, और मॉड डाउनलोड पर कोई प्रभाव नहीं पड़ता।

3. इस टूल की सीमाएँ

• Java को अपडेट नहीं करता। ब्लॉक सूची एक अस्थायी उपाय है, और यदि लॉन्चर Java को फिर से डाउनलोड कर देता है तो स्थिति पहले जैसी हो सकती है।
• ट्रस्ट स्टोर (cacerts) को नहीं बदलता। रूट प्रमाणपत्र हटाने से सामान्य साइटें भी ब्लॉक हो सकती हैं, इसलिए इसे छेड़ता नहीं। (उदाहरण: Sectigo "AAA Certificate Services" एक रूट है जिसका उपयोग कई सामान्य साइटें करती हैं।)
• प्रमाणपत्र निरस्तीकरण जाँच (revocation) को चालू नहीं करता। इसे चालू करने पर हर कनेक्शन के समय निरस्तीकरण सूची सर्वर से पूछना पड़ता है, और यदि उस सर्वर तक नहीं पहुँचा जा सका तो Minecraft लॉगिन भी विफल हो सकता है। साथ ही यह सेटिंग प्रत्येक प्रोग्राम के लिए रन विकल्प के रूप में डालनी पड़ती है, इसलिए इसे एक साथ लागू करना कठिन है।
• फ़ाइल जाँच में "ब्लॉक सूची लागू" का अर्थ केवल यह है कि ब्लॉक सूची में 16 प्रमाणपत्र मौजूद हैं, इसका अर्थ यह नहीं कि वह Java हर दृष्टि से सुरक्षित है। वास्तविक व्यवहार वास्तविक कनेक्शन जाँच से जाँचें।
• वास्तविक कनेक्शन जाँच की परीक्षण साइट 16 में से EM DV TLS CA - G3B श्रेणी (eMudhra पथ और Sectigo पथ) को प्रतिनिधि रूप में जाँचती है। शेष प्रमाणपत्र भी उसी ब्लॉक विधि के कारण साथ में ब्लॉक होते हैं, परंतु एक-एक करके कनेक्ट करके नहीं देखा जाता।
• कोड साइनिंग और Apple नोटराइज़ेशन प्राप्त न होने के कारण Windows SmartScreen और macOS Gatekeeper चेतावनी दिखाते हैं।

4. डाउनलोड और निष्पादन

Releases पृष्ठ से अपने ऑपरेटिंग सिस्टम के अनुकूल फ़ाइल डाउनलोड करें।

ऑपरेटिंग सिस्टम	फ़ाइल
Windows (अधिकांश PC)	javafix-windows-x64.exe
Windows (ARM लैपटॉप)	javafix-windows-arm64.exe
macOS (Intel / Apple Silicon सामान्य)	javafix-macos-universal.zip

प्राप्त फ़ाइल के मूल होने की जाँच करने के लिए SHA256SUMS के मान से तुलना करें।

certutil -hashfile javafix-windows-x64.exe SHA256      (Windows)
shasum -a 256 javafix-macos-universal.zip              (macOS)

Windows

1. javafix-windows-x64.exe पर डबल-क्लिक करें।
2. "Windows ने आपके PC की सुरक्षा की" विंडो दिखने पर अधिक जानकारी → चलाएँ पर क्लिक करें। यह चेतावनी इसलिए दिखती है क्योंकि प्रोग्राम में कोड साइनिंग प्रमाणपत्र नहीं है।

macOS

1. javafix-macos-universal.zip डाउनलोड करें और अनज़िप करें (Safari स्वचालित रूप से अनज़िप करता है)। एक javafix-macos फ़ोल्डर बन जाएगा।
2. फ़ोल्डर के अंदर javafix.command पर डबल-क्लिक करें, तो टर्मिनल खुलकर इसे चलाएगा।
3. चूँकि यह प्रोग्राम Apple नोटराइज़ेशन (notarization) प्राप्त नहीं है, पहली बार "अज्ञात डेवलपर" की चेतावनी दिखेगी।
   • macOS 15 (Sequoia) या उससे नया: चेतावनी विंडो बंद करें और सिस्टम सेटिंग्स → गोपनीयता और सुरक्षा में सबसे नीचे "फिर भी खोलें" पर क्लिक करें, फिर दोबारा डबल-क्लिक करें।
   • macOS 14 या उससे पुराना: javafix.command पर राइट-क्लिक → खोलें → खोलें पर क्लिक करें।

टर्मिनल से सीधे चलाने के लिए:

cd ~/Downloads/javafix-macos
xattr -d com.apple.quarantine javafix.command
./javafix.command

v0.1.0 का असंपीड़ित javafix-macos-universal फ़ाइल डाउनलोड करने पर उसकी निष्पादन अनुमति चली जाती है, इसलिए डबल-क्लिक करने पर टेक्स्ट एडिटर "टेक्स्ट एन्कोडिंग यूनिकोड (UTF-8) लागू नहीं है" त्रुटि दिखाता है। v0.1.1 से इसे zip में वितरित किया जाता है।

5. निष्पादन स्क्रीन का क्रम