CVE-2026-49457

erlang_quic, saf Erlang ile yazılmış bir QUIC uygulamasıdır. 1.4.4 sürümünden önce, QUIC istemcisi TLS 1.3 el sıkışması sırasında sunucunun kimliğini doğrulamıyordu. CertificateVerify imzası kontrol edilmiyor, sertifika zinciri doğrulanmıyor ve ana bilgisayar adı sertifikayla karşılaştırılmıyordu; bu nedenle istemci tarafında `verify` fiilen etkisizdi. Ağ yolundaki bir ortadaki adam saldırganı herhangi bir sertifika sunarak herhangi bir sunucunun kimliğine bürünebilir ve bağlantının gizliliğini ve bütünlüğünü ihlal edebilirdi. HTTP/3 aynı istemciyi kullanır ve aynı şekilde etkilenmiştir. PSK (oturum devam ettirme) ile kimliği doğrulanan el sıkışmaları etkilenmez, çünkü eşin kimliği PSK bağlayıcısı ile doğrulanır ve sertifika gönderilmez. Bu sorun 1.4.4 sürümünde giderilmiştir. İstemci artık CertificateVerify imzasını doğrular, sertifika zincirini güven deposuna (`cacerts` seçeneği, varsayılan olarak işletim sistemi deposu) göre doğrular ve ana bilgisayar adını kontrol eder. İstemci `verify` artık varsayılan olarak açıktır; herhangi bir sertifikayı kabul etmek için (örneğin kendinden imzalı bir test sunucusu) `verify => false` ayarlayın. 1.4.4 sürümünden önce bilinen bir geçici çözüm yoktur. `verify => true` hiçbir etki göstermiyordu ve bağlantı kurulduktan sonra sertifikayı incelemek yardımcı olmaz çünkü imza kontrolü olmadan eşin sunduğu sertifikaya sahip olduğu hiçbir zaman kanıtlanmaz.