CVE-2025-61778 in akka.net
Résumé
par VulDB • 20/08/2026
Akka.NET est un port .NET du projet Akka issu de la communauté Scala/Java. Dans toutes les versions d’Akka.Remote allant de v1.2.0 à v1.5.51, le protocole TLS pouvait être activé via notre transport `akka.remote.dot-netty.tcp`, ce qui appliquait correctement la validation de la clé privée côté serveur des connexions entrantes. Cependant, Akka.Remote n’a jamais demandé au client établissant une connexion sortante de présenter SON certificat ; il est donc possible pour des parties non fiables de se connecter à un cluster Akka.NET protégé par une clé privée et d’y établir une communication sans aucun certificat. Le problème réside dans le fait que, afin qu’une authentification basée sur les certificats fonctionne correctement en garantissant que tous les membres du réseau Akka.Remote sont sécurisés avec la même clé privée, Akka.Remote devait implémenter un TLS mutuel (mTLS). Ce n’était pas le cas avant la version d’Akka.NET v1.5.52. Les utilisateurs exécutant Akka.NET au sein d’un réseau privé qu’ils contrôlent entièrement ou ceux qui n’utilisaient jamais de TLS sont désormais affectés par ce bogue. En revanche, les utilisateurs ayant recours à TLS pour sécuriser leurs réseaux doivent mettre à niveau vers Akka.NET v1.5.52 ou une version ultérieure. Un correctif impose des sémantiques « fail fast » (échec rapide) si le protocole TLS est activé mais que la clé privée est manquante ou invalide. Les versions précédentes ne vérifiaient cela qu’une fois les tentatives de connexion effectuées. Le second correctif, une correction critique, applique par défaut un TLS mutuel (mTLS), obligeant ainsi les deux parties à être authentifiées avec le même certificat. Comme solution de contournement, évitez d’exposer l’application publiquement afin d’éviter que la vulnérabilité n’ait un impact pratique sur votre application. Toutefois, il est toujours recommandé par les mainteneurs de mettre à niveau vers la version 1.5.52.
If you want to get best quality of vulnerability data, you may have to visit VulDB.