CVE-2020-15134

Faye'in 1.4.0 versiyonundan önceki sürümlerinde, TLS el sıkışmalarında sertifika doğrulaması eksikliği bulunmaktadır. Faye, istemcisinin Ruby versiyonunda em-http-request ve faye-websocket kullanmaktadır. Bu kütüphanelerin her ikisi de bağlantı için bir `wss:` URL'si kullanıldığında, TLS el sıkışmasını gerçekleştirmek için EventMachine içindeki `EM::Connection#start_tls` metodunu kullanır. Bu metod varsayılan olarak sertifika doğrulamasını gerçekleştirmez; yani sunucunun beklenen ana bilgisayar adı için geçerli ve güvenilir bir TLS sertifikası sunduğunu kontrol etmez. Bu durum, söz konusu kütüphaneler kullanılarak yapılan herhangi bir `https:` veya `wss:` bağlantısının, bağlandığı sunucunun kimliğini onaylamadığı için ortadaki adam (man-in-the-middle) saldırısına karşı savunmasız olduğu anlamına gelir. Bir Faye istemcisinin yaptığı ilk istek her zaman normal HTTP üzerinden gönderilir ancak sonraki mesajlar WebSocket üzerinden gönderilebilir. Bu nedenle, alt kütüphanelerin sahip olduğu aynı soruna karşı savunmasızdır ve Faye'in bunu desteklediğini iddia edebilmesi için her iki kütüphanenin de TLS doğrulamasını desteklemesi gerekmiştir. İlk HTTPS isteği doğrulansa bile sonraki WebSocket bağlantıları doğrulanmazsa istemciniz hala güvensiz olacaktır. Bu sorun, doğrulamayı varsayılan olarak etkinleştiren Faye v1.4.0 sürümünde düzeltilmiştir. Bu konu hakkında daha fazla arka plan bilgisi için lütfen referans verilen GitHub Advisory'ye bakınız.