CVE-2026-26994
Açıklama
uTLS, el sıkışma işlemi için kullanılmaya devam ederken parmak izi direncini artırmak amacıyla ClientHello'yu özelleştirmek için oluşturulmuş bir crypto/tls çatallamasıdır (fork). 1.6.7 ve altı sürümlerde uTLS, bir uTLS ClientHello spesifikasyonu kullanıldığında RFC 8446 Bölüm 4.1.3'te belirtilen TLS 1.3 sürüm düşürme koruma mekanizmasını uygulamamıştır. Bu durum, aktif bir ağ saldırganının, ClientHello mesajını SupportedVersions uzantısını hariç tutacak şekilde değiştirerek, bir uTLS istemcisi tarafından başlatılan TLS 1.3 bağlantılarını daha düşük bir TLS sürümüne (örneğin TLS 1.2) düşürmesine olanak tanımıştır; bu da sunucunun (ServerHello rastgele alanındaki bir sürüm düşürme kanaryası ile birlikte) TLS 1.2 ServerHello yanıtı vermesine neden olmuştur. uTLS, ServerHello rastgele alanındaki sürüm düşürme kanaryasını kontrol etmediği için istemciler, saldırıyı tespit etmeden düşürülmüş bağlantıyı kabul etmekteydi. Bu saldırı, aynı zamanda aktif bir ağ saldırganı tarafından uTLS bağlantılarının parmak izini çıkarmak için de kullanılabilirdi. Bu sorun 1.7.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- refraction-networking utls1.7.0 ya da sonraki bir sürüm
- github.com/refraction-networking/utls1.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| refraction-networking utls | v < 1.7.0 | 1.7.0 |
| github.com/refraction-networking/utlsGo | v < 1.7.0, 1.0.0 ≤ v < 1.7.0 | 1.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.