CVE-2026-59247

Gleam proqramındakı məlumatların autentikliyinin yetərsiz yoxlanılması zəifliyi, aradakı hücumçuya (adversary in the middle) asılılıqların həlli zamanı saxtalaşdırılmış Hex paket məzmunlarını əvəzləməyə imkan verir. Asılılıqların həlli zamanı Gleam, hər bir buraxılışın asılılıq tələblərini və SHA-256 outer_checksum dəyərini əhatə edən imzalanmış Hex repozitoriyasından paket meta-məlumatlarını əldə edir. Versiyalar müəyyən edildikdən sonra, gleam_cli::dependencies::lookup_package funksiyası gleam_core::hex::get_package_release vasitəsilə imzalanmamış Hex API-na ikinci sorğu göndərir və həmin JSON cavabındakı outer_checksum və asılılıq adlarını, təsdiqlənmiş repozitoriya meta-məlumatlarından gələn dəyərlər əvəzinə manifest.toml faylına yazır. Hex repozitoriyasının imzası API cavabını əhatə etmir. TLS trafikini Gleam prosesi tərəfindən etibar edilən sertifikatla (məsələn, əməliyyat sisteminin etibar deposundakı və ya GLEAM_CACERTS_PATH vasitəsilə əlavə edilmiş CA istifadə edən TLS-inspeksiya proksisi ilə) tuta bilən və həm API buraxılış cavabını, həm də müvafiq repozitoriya tarball faylını dəyişdirə bilən aradakı hücumçu, Hex repozitoriyasının imzalama açarı olmadan uyğunlaşdırılmış saxta checksum-a malik paket arxivini təqdim edə bilər. Gleam saxtalaşdırılmış tarball faylını saxta checksum ilə yoxlayır, onu qəbul edir və asılılıq mənbəyi kimi çıxarır ki, bu da yüklənmiş paket məzmunlarının bütövlüyünün itirilməsinə səbəb olur. Yalnız Hex asılılıqlarını həll edən və ya yeniləyən layihələr təsirlənir; bu, manifest faylı olmadıqda, yeni asılılıq əlavə edildikdə və ya yeniləndikdə, yaxud asılılıq tələbləri dəyişdikdə baş verir. Dəyişməmiş, məlum və düzgün manifest.toml faylından istifadə edən build-lər tarball fayllarını onun sabitləşdirilmiş (pinned) checksum-ına görə yoxlamağa davam edir. Bu problem gleam versiyaları üçün 0.18.0-dan 1.18.0-a qədər olan dövrdə aktualdır.