CVE-2020-15134

Faye-nin 1.4.0 versiyasından əvvəlki versiyalarda TLS əl sıxma prosesində sertifikat təsdiqləməsinin olmaması problemi mövcuddur. Faye öz klientinin Ruby versiyasında em-http-request və faye-websocket kitabxanalarından istifadə edir. Bağlantı üçün `wss:` URL-i hər dəfə istifadə edildikdə, hər iki kitabxana TLS əl sıxmasını həyata keçirmək üçün EventMachine-dəki `EM::Connection#start_tls` metodundan istifadə edir. Bu metod standart olaraq sertifikat yoxlamasını tətbiq etmir, yəni serverin gözlənilən host adı üçün etibarlı və güvənli TLS sertifikatı təqdim edib-etmədiyini yoxlamır. Bu o deməkdir ki, həmin kitabxanalar vasitəsilə qurulan hər hansı `https:` və ya `wss:` bağlantısı, qoşulduğu serverin kimliyini təsdiqləmədiyi üçün "man-in-the-middle" hücumuna qarşı həssasdır. Faye klientinin etdiyi ilk sorğu həmişə normal HTTP vasitəsilə göndərilir, lakin sonrakı mesajlar WebSocket vasitəsilə göndərilə bilər. Buna görə də, Faye altda yatan bu kitabxanaların sahib olduğu eyni problemə həssasdır və Faye-nin bunu düzəltdiyini iddia etməsi üçün hər iki kitabxananın TLS təsdiqləməsini dəstəkləməsi tələb olunurdu. İlkin HTTPS sorğusu təsdiqlənsə belə, sonrakı WebSocket bağlantıları təsdiqlənmirsə, klientiniz yenə də təhlükəsiz olmayacaqdı. Bu problem, təsdiqləməni standart olaraq aktivləşdirən Faye v1.4.0 versiyasında aradan qaldırılıb. Bu məsələ ilə bağlı daha ətraflı məlumat üçün zəhmət olmasa istinad edilən GitHub Advisory-yə baxın.