CVE-2026-26994
Təsvir
uTLS, əl sıxma (handshake) prosesində istifadə etməklə yanaşı, barmaq izi müəyyənləyinə qarşı davamlılıq üçün ClientHello-nu fərdiləşdirmək məqsədilə yaradılmış crypto/tls-in çatallanmasıdır (fork). Versiya 1.6.7 və daha aşağı versiyalarda uTLS, uTLS ClientHello spesifikasiyasından istifadə edərkən RFC 8446 Bölmə 4.1.3-də göstərilmiş TLS 1.3 versiyasının aşağı salınmasına qarşı qoruma mexanizmini tətbiq etməmişdir. Bu, aktiv şəbəkə hücumçusuna ClientHello mesajını dəyişərək SupportedVersions genişlənməsini çıxarmaqla, uTLS kliyenti tərəfindən başladılan TLS 1.3 bağlantılarını daha aşağı TLS versiyasına (məsələn, TLS 1.2) endirməyə imkan verirdi; bu zaman server TLS 1.2 ServerHello (ServerHello təsadüfi sahəsində downgrade canary ilə birlikdə) ilə cavab verirdi. uTLS ServerHello təsadüfi sahəsindəki downgrade canary-ni yoxlamadığı üçün kliyentlər hücumu aşkar etmədən aşağı salınmış bağlantını qəbul edirdilər. Bu hücum həmçinin aktiv şəbəkə hücumçusu tərəfindən uTLS bağlantılarının barmaq izini müəyyən etmək üçün istifadə edilə bilərdi. Bu problem 1.7.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- refraction-networking utls1.7.0 və ya daha yeni versiya
- github.com/refraction-networking/utls1.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| refraction-networking utls | v < 1.7.0 | 1.7.0 |
| github.com/refraction-networking/utlsGo | v < 1.7.0, 1.0.0 ≤ v < 1.7.0 | 1.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.