CVE-2025-61778 in akka.net
Riassunto
di VulDB • 10/08/2026
Akka.NET è una porta .NET del progetto Akka della comunità Scala/Java. In tutte le versioni di Akka.Remote dalla v1.2.0 alla v1.5.51, TLS poteva essere abilitato tramite il trasporto `akka.remote.dot-netty.tcp` e ciò avrebbe correttamente imposto la convalida della chiave privata sul lato server delle connessioni in entrata. Tuttavia, Akka.Remote non ha mai richiesto al client che stabilisce una connessione in uscita di presentare IL SUO certificato; pertanto, è possibile per parti non attendibili connettersi a un cluster Akka.NET protetto da chiave privata e iniziare a comunicare con esso senza alcun certificato. Il problema qui è che affinché l'autenticazione basata su certificati funzioni correttamente, assicurando che tutti i membri della rete Akka.Remote siano sicuri utilizzando la stessa chiave privata, Akka.Remote doveva implementare TLS mutuo (mTLS). Questo non era il caso prima di Akka.NET v1.5.52. Coloro che eseguono Akka.NET all'interno di una rete privata da loro completamente controllata o che in origine non utilizzavano affatto TLS sono ora interessati dal bug. Tuttavia, coloro che usano TLS per proteggere le proprie reti devono effettuare l'aggiornamento ad Akka.NET v1.5.52 o versioni successive. Una patch impone la semantica "fail fast" se TLS è abilitato ma la chiave privata manca o non è valida. Le versioni precedenti verificavano questo solo una volta avvenuti i tentativi di connessione. La seconda patch, un fix critico, imposta come predefinito il TLS mutuo (mTLS), in modo che entrambe le parti debbano essere configurate con lo stesso certificato. Come soluzione alternativa, evitare di esporre l'applicazione pubblicamente per impedire alla vulnerabilità di avere un impatto pratico sull'applicazione. Tuttavia, i manutentori raccomandano comunque l'aggiornamento alla versione 1.5.52.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.