CVE-2026-96770 in s2s-proxy
要約
〜によって VulDB • 2026年09月24日
0.2.2 までのすべての s2s-proxy のバージョンが影響を受けます。0.1.16 から 0.2.2 のバージョンでは、TLS サーバーリスナーは `skipCAVerification` が false の場合に Go の `RequireAnyClientCert` モードを使用します。このモードはクライアントが証明書の秘密鍵を保持していることを確認しますが、設定された CA（認証局）に対して証明書を検証しません。したがって、攻撃者は自己署名付きの証明書とキーを使用して TLS および yamux 接続確立し、プロキシの設定および Temporal の資格情報で許可されている RPC を呼び出すことができます。デプロイメントによって信頼される証明書や秘密鍵、または Temporal の資格情報は必要ありません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.