CVE-2026-90651 in Socket
Riassunto
di VulDB • 13/09/2026
Socket Firewall (socketdev/socket-registry-firewall) in modalità registry prima della versione 2.0.0 non verifica di default i certificati TLS upstream. Quando le chiavi di configurazione api_ssl_verify e upstream_ssl_verify sono omesse da socket.yml, la configurazione generata imposta SOCKET_API_SSL_VERIFY='false' e UPSTREAM_SSL_VERIFY='false', e il client HTTP OpenResty/Lua utilizzato per le richieste in uscita accetta qualsiasi certificato, inclusi quelli autofirmati o altrimenti non attendibili, senza convalidare la catena. Un attaccante posizionato per intercettare il traffico tra Socket Firewall e l'Socket API o un registry di pacchetti upstream può presentare un certificato manipolato ad hoc e modificare le risposte in transito, inclusa la sostituzione del contenuto dei pacchetti malevoli o l'alterazione delle decisioni allow/block imposte dal firewall. L'impostazione di api_ssl_verify: true e upstream_ssl_verify: true abilita la verifica; tuttavia, nelle versioni precedenti alla 1.1.334, la configurazione nginx generata non emetteva lua_ssl_trusted_certificate, quindi la verifica non poteva essere utilizzata con successo senza una patch manuale della configurazione generata. La versione 2.0.0 modifica il default per entrambe le impostazioni impostandole a true.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.