CVE-2026-97687

urllib3 Python üçün HTTP klient kitabxanasıdır. 1.26.0 versiyasından 2.8.0 versiyasına qədər olan dövrdə, hədəf serverin TLS parametrləri HTTPS proksi bağlantısına yanlış tətbiq edildiyi üçün proxy_ssl_context, proxy_assert_hostname, proxy_assert_fingerprint, ssl_context, cert_reqs, verify_mode, use_forwarding_for_https=True və CERT_NONE konfiqurasiya yolları bir-birindən ayrılmamış qalır. Bu problem, tətbiqin HTTPS proksisindən istifadə etdiyi və hədəfə xas kimlik məlumatları və ya etibarnamələri ilə HTTPS yönləndirməsi daxil olmaqla, proksi TLS əl sıxma prosesindən ayrı qalmalı olan hədəf server TLS parametrlərini konfiqurasiya etdiyi halda baş verir. cert_reqs=CERT_NONE parametrinin tətbiqi proxy_ssl_context.verify_mode dəyərini yerində yenidən yaza bilər və bu dəyişiklik qalıcı olduğu üçün eyni kontekstdən istifadə edən sonrakı bağlantılar sertifikat yoxlaması olmadan HTTPS proksisinə qoşula bilər. Hücum mexanizmi ondan ibarətdir ki, effektiv proksi siyasəti hücumçunun sertifikatını qəbul etdikdən sonra hücumçu HTTPS proksisini ələ keçirir və onu təqlid edir. Nəticədə, CONNECT tunelləşdirilməsi hələ də ayrıca ucdan-uca hədəf TLS bağlantısını qorusa da, hücumçu yönləndirilmiş trafiki müşahidə edə, dəyişdirə və ya hədəf TLS klient sertifikatını əldə edə bilər. Bu problem 2.8.0 versiyasında düzəldilmişdir.