CVE-2026-96770
Açıklama
0.2.2 dahil tüm yayınlanmış s2s-proxy sürümleri etkilenmektedir. 0.1.16 ile 0.2.2 arasındaki sürümlerde, skipCAVerification false olduğunda TLS sunucu dinleyicileri Go'nun RequireAnyClientCert modunu kullanır. Bu mod, istemcinin sertifikanın özel anahtarına sahip olduğunu kontrol eder ancak sertifikayı yapılandırılmış CA'ya karşı doğrulamaz. Bu nedenle bir saldırgan, TLS ve yamux bağlantısı kurmak için kendi imzaladığı bir sertifika ve anahtar kullanabilir, ardından proxy konfigürasyonu ve Temporal kimlik bilgileri tarafından izin verilen RPC'leri çağırabilir. Dağıtım tarafından güvenilen herhangi bir sertifika veya özel anahtar ile herhangi bir Temporal kimlik bilgisi gerekmemektedir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Temporal Technologies, Inc. s2s-proxy | 0.0.1-alpha ≤ v ≤ 0.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.