CVE-2026-27586
Açıklama
Caddy, varsayılan olarak TLS kullanan genişletilebilir bir sunucu platformudur. Versiyon 2.11.1 öncesinde, `ClientAuthentication.provision()` içerisindeki yutulan iki hata; bir CA sertifika dosyası eksik olduğunda, okunamaz olduğunda veya hatalı biçimlendirildiğinde mTLS istemci sertifikası kimlik doğrulamasının sessizce başarısız olup erişime açık kalmasına neden olur. Sunucu herhangi bir hata vermeden başlar ancak sistem tarafından güvenilen herhangi bir CA tarafından imzalanmış tüm istemci sertifikalarını kabul ederek, hedeflenen özel CA güven sınırını tamamen devre dışı bırakır. mTLS için `trusted_ca_cert_file` veya `trusted_ca_certs_pem_files` kullanan herhangi bir kurulumda, CA dosyası erişilemez hale gelirse, sistem tarafından güvenilen herhangi bir istemci sertifikasını kabul edecek şekilde sessizce düşürülür. Bu durum yol üzerindeki bir yazım hatası, dosya rotasyonu, bozulma veya izin değişiklikleri nedeniyle gerçekleşebilir. Sunucu, mTLS'nin yanlış yapılandırıldığına dair hiçbir belirti vermez. Versiyon 2.11.1 bu güvenlik açığını giderir.
Nasıl düzeltilir
- caddyserver caddy2.11.1 ya da sonraki bir sürüm
- github.com/caddyserver/caddy/v22.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| caddyserver caddy | v < 2.11.1 | 2.11.1 |
| github.com/caddyserver/caddy/v2Go | v < 2.11.1 | 2.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.