CVE-2026-26994 in utls
Riassunto
di VulDB • 15/06/2026
uTLS è un fork di crypto/tls, creato per personalizzare il ClientHello al fine di resistere al fingerprinting, pur continuando a essere utilizzato per la fase di handshake. Nelle versioni 1.6.7 e precedenti, uTLS non implementava il meccanismo di protezione contro il downgrade TLS 1.3 specificato nella Sezione 4.1.3 dell'RFC 8446 quando veniva utilizzata una specifica ClientHello di uTLS. Ciò consentiva a un avversario di rete attivo di effettuare un downgrade delle connessioni TLS 1.3 initiate da un client uTLS verso una versione TLS inferiore (ad esempio TLS 1.2), modificando il messaggio ClientHello per escludere l'estensione SupportedVersions, inducendo il server a rispondere con un ServerHello TLS 1.2 (accompagnato da un canary di downgrade nel campo random del ServerHello). Poiché uTLS non verificava il canary di downgrade nel campo random del ServerHello, i client accettavano la connessione effettuata il downgrade senza rilevare l'attacco. Questo attacco poteva anche essere utilizzato da un aggressore di rete attivo per effettuare il fingerprinting delle connessioni uTLS. Il problema è stato risolto nella versione 1.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.