CVE-2026-49457

erlang_quic təmiz Erlang QUIC implementasiyasıdır. Versiya 1.4.4-dən əvvəl QUIC kliyenti TLS 1.3 əl sıxma (handshake) prosesi zamanı serveri autentifikasiya etmirdi. CertificateVerify imzası yoxlanılmırdı, sertifikat zənciri təsdiqlənmirdi və host adı sertifikatla müqayisə edilmirdi, buna görə də kliyentdə `verify` funksiyası faktiki olaraq heç bir əməliyyat yerinə yetirmirdi. Şəbəkə yolundakı "man-in-the-middle" hücumçusu istənilən sertifikatı təqdim edərək hər hansı bir serveri təqlid edə bilərdi ki, bu da bağlantının məxfiliyinə və bütövlüyünə xələl gətirirdi. HTTP/3 eyni kliyentdən istifadə etdiyi üçün eyni şəkildə təsirlənmişdir. PSK (sessiyanın bərpası) ilə autentifikasiya edilmiş əl sıxmaları təsirlənmir, çünki qarşı tərəf PSK binder vasitəsilə autentifikasiya edilir və heç bir sertifikat göndərilmir. Bu problem 1.4.4 versiyasında düzəldilmişdir. Kliyent artıq CertificateVerify imzasını yoxlayır, sertifikat zəncirini etibar anbarına (`cacerts` seçimi, standart olaraq əməliyyat sistemi anbarı) qarşı təsdiqləyir və host adını yoxlayır. Kliyentin `verify` parametri artıq standart olaraq aktivdir; istənilən sertifikatı (məsələn, özü imzalanmış test serverini) qəbul etmək üçün `verify => false` təyin edin. 1.4.4 versiyasından əvvəl heç bir məlum alternativ həll yolu mövcud deyildi. `verify => true` parametrinə heç bir təsir yox idi və qoşulduqdan sonra sertifikatın yoxlanılması kömək etmirdi, çünki imza yoxlaması olmadan qarşı tərəfin təqdim etdiyi sertifikatın sahibi olduğu heç vaxt sübut olunmurdu.