CVE-2026-66392
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wersje Apache bRPC starsze niż 1.18.0 sprawdzają łańcuch certyfikatów serwera, gdy włączona jest weryfikacja równorzędna klienta TLS, ale nie wiążą certyfikatu z oczekiwaną nazwą DNS lub adresem IP. Osoba atakująca sieć, która może przekierować lub przechwycić połączenie i która posiada certyfikat wydany przez zaufany przez klienta urząd certyfikacji pod inną nazwą, może podszyć się pod żądany punkt końcowy TLS.
Dotknięte scenariusze:
Aplikacje korzystają z kanału klienta bRPC, aby łączyć się z niezaufaną siecią z włączoną weryfikacją certyfikatu i ufać urzędowi certyfikacji, który może wystawiać certyfikaty dla tożsamości innych niż zamierzony punkt końcowy.
Jak naprawić:
Uaktualnij do Apache bRPC 1.18.0 i włącz VERIFY_PEER z dodatnią głębokością weryfikacji. Kanały HTTPS automatycznie weryfikują certyfikat względem hosta w adresie URL kanału. Obiekty wywołujące mogą jawnie ustawić VerifyOptions::expected_peer_name, gdy tożsamość certyfikatu różni się od tożsamości hosta URL. Alternatywnie zastosuj łatkę z https://github.com/apache/brpc/pull/3408 .
Uwaga:
Nowa opcja przeprowadza weryfikację DNS SAN lub IP SAN podczas uzgadniania TLS. Konfiguracje, które ustawiają oczekiwaną_nazwę_równorzędną, gdy weryfikacja równorzędna jest wyłączona, są odrzucane.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org