CVE-2026-90651 in Socket
要約
〜によって VulDB • 2026年09月13日
Socket Firewall (socketdev/socket-registry-firewall) の registry モードにおいて、バージョン 2.0.0 より前はデフォルトでアップストリーム TLS 証明書を検証しません。socket.yml から api_ssl_verify および upstream_ssl_verify 設定キーが省略されると、生成される構成では SOCKET_API_SSL_VERIFY='false' および UPSTREAM_SSL_VERIFY='false' が設定され、アウトバウンド リクエストに使用される OpenResty/Lua HTTP クライアントは自己署名証明書やその他信頼できない証明書を検証せずにチェーンを検証せず、すべての証明書を受け入れます。Socket Firewall と Socket API またはアップストリーム パッケージレジストリ間のトラフィックを傍受できる攻撃者は、不正な提示された証明書を使用して転送中の応答を変更し、悪意のあるパッケージ コンテンツに置き換えたり、ファイアウォールが適用する許可/ブロックの決定を変更したりすることができます。api_ssl_verify: true および upstream_ssl_verify: true を設定すると検証が可能になりますが、バージョン 1.1.334 より前では生成された nginx 構成で lua_ssl_trusted_certificate が出力されなかったため、生成された構成を手動でパッチしない限り検証を正常に使用することはできませんでした。バージョン 2.0.0 では両方のデフォルト値が true に変更されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.