CVE-2026-96770
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Dotyczy to wszystkich opublikowanych wersji s2s-proxy do 0.2.2. W wersjach od 0.1.16 do 0.2.2 odbiorniki serwera TLS używają trybu RequireAnyClientCert Go, gdy opcja skipCAVerification ma wartość false. Ten tryb sprawdza, czy klient posiada klucz prywatny certyfikatu, ale nie weryfikuje certyfikatu w stosunku do skonfigurowanego urzędu certyfikacji. Osoba atakująca może zatem użyć certyfikatu i klucza z podpisem własnym do nawiązania połączenia TLS i Yamux, a następnie wywołać wywołania RPC dozwolone na podstawie konfiguracji serwera proxy i poświadczeń tymczasowych. Nie są wymagane żadne certyfikaty ani klucze prywatne, którym ufa wdrożenie, ani tymczasowe poświadczenia.
>_ Słabości (CWE)
>_ Referencje
- https://docs.temporal.io/production-deployment/data-encryption#codec-server-setup
- https://github.com/temporalio/s2s-proxy/blob/v0.2.2/encryption/tls.go#L47-L62
- https://github.com/temporalio/s2s-proxy/commit/d100c2258dbc37d7df51298ea045315f36c7eb3b
- https://github.com/temporalio/s2s-proxy/commit/f1dc6b9a3919d37e82545ab461cbe6bb62618d3c
- https://github.com/temporalio/s2s-proxy/pull/296
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org