CVE-2026-14440

Açıklama: Cloudflare'in Universal SSL özelliği, müşteriler adına TLS sertifikaları düzenlemek ve yenilemek için müşterinin bölgesi (zone) için CAA RRset'ini otomatik olarak yönetir. Bu otomatik yönetilen RRset, tasarımı gereği izin vericidir (örneğin parametresiz 'issue "letsencrypt.org"'). Universal SSL bölgelerinde, Cloudflare'in yetkili DNS'i sorgu sırasında bu otomatik yönetilen RRset'i sunarak bölgedeki müşteri tarafından yapılandırılmış tüm CAA kayıtlarının yerine geçer. Bir müşteri, RFC 8657 accounturi veya validationmethods parametrelerini kullanarak daha katı bir CAA kaydı yayınladığında, Sertifika Yetkilisi (CA), RFC 8659 kapsamında sunulan RRset'i değerlendirirken bu parametreleri dikkate almaz. Sonuç olarak, RFC 8657 hesap bağlama (account-binding) ve doğrulama yöntemi bağlama (validation-method-binding) korumaları Universal SSL bölgelerinde uçtan uca uygulanmaz. Başarılı bir istismar, bir saldırgana tarayıcı tarafından güvenilen bir TLS sertifikasının düzenlenmesiyle sonuçlanabilir ve etkilenen etki alanına karşı MITM saldırılarına olanak tanıyabilir. İstismar pratikte kolay değildir: bir saldırganın, sunulan CAA RRset'indeki Sertifika Yetkililerinden birinde bir ACME hesabına sahip olması ve aynı zamanda CA'nın Çok Perspektifli Düzenleme Doğrulaması (Multi-Perspective Issuance Corroboration) için güvendiği coğrafi olarak farklı birden fazla Ağ Perspektifi üzerinden alan adı kontrol doğrulamasını sağlaması gerekir. Cloudflare ön ekleri küresel olarak yüzlerce konumdan anycast ile duyurulmaktadır, bu da tek bakış açılı BGP gasp saldırılarına karşı çıtayı yükseltmektedir. Tarayıcı tarafından güvenilen bir sertifikanın hatalı düzenlenmesi durumu, ana tarayıcılar tarafından zorunlu kılınan Sertifika Şeffaflığı (Certificate Transparency - CT) günlüğüne tabidir ve CT izlemesiyle görünür olacaktır. Azaltma: Sıkı RFC 8657 uygulamasına ihtiyaç duyan müşterilerin, etkilenen bölgede Universal SSL'yi devre dışı bırakmaları gerekir. Universal SSL'nin otomatik CAA yönetimi ile müşteri tarafından ayarlanan RFC 8657 accounturi ve validationmethods uygulaması sorunun doğası gereği birbirini dışlamaktadır; bu nedenle her ikisini de koruyan ürün içi bir geçici çözüm bulunmamaktadır. Genel bir tespit kontrolü olarak tüm müşterilere Sertifika Şeffaflığı izlemesi önerilir. Krediler: David Osipov (ORCID: https://orcid.org/0009-0005-2713-9242), bağımsız araştırmacı