CVE-2026-90651 in Socket
Zusammenfassung
von VulDB • 13.09.2026
Socket Firewall (socketdev/socket-registry-firewall) im Registry-Betrieb vor Version 2.0.0 überprüft standardmäßig keine TLS-Zertifikate des Upstream-Servers. Wenn die Konfigurationsschlüssel `api_ssl_verify` und `upstream_ssl_verify` in der Datei socket.yml weggelassen werden, setzt die generierte Konfiguration SOCKET_API_SSL_VERIFY='false' und UPSTREAM_SSL_VERIFY='false'. Der für ausgehende Anfragen verwendete OpenResty/Lua-HTTP-Client akzeptiert jedes Zertifikat, einschließlich selbstsignierter und anderweitig nicht vertrauenswürdiger Zertifikate, ohne die Zertifikatskette zu validieren. Ein Angreifer, der in der Lage ist, den Datenverkehr zwischen Socket Firewall und dem Socket API oder einem Upstream-Paket-Registry abzufangen, kann ein manipuliertes Zertifikat präsentieren und Antworten während der Übertragung verändern, einschließlich des Ersetzens von bösartigem Paketinhalt oder der Änderung der Allow/Block-Entscheidungen, die das Firewall durchsetzt. Das Setzen von `api_ssl_verify: true` und `upstream_ssl_verify: true` aktiviert die Überprüfung; jedoch wurde in Versionen vor 1.1.334 im generierten nginx-Konfigurationsfile kein lua_ssl_trusted_certificate ausgegeben, sodass eine erfolgreiche Überprüfung nicht ohne manuelles Patches der generierten Konfiguration möglich war. Mit Version 2.0.0 werden beide Einstellungen standardmäßig auf true gesetzt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.