CVE-2026-90651 in Socket
요약
\~에 의해 VulDB • 2026. 09. 13.
registry 모드에서 2.0.0 이전 버전의 Socket Firewall(socketdev/socket-registry-firewall)은 기본적으로 업스트림 TLS 인증서를 검증하지 않습니다. socket.yml 구성 파일에서 api_ssl_verify 및 upstream_ssl_verify 설정 키를 생략하면, 생성된 구성에서는 SOCKET_API_SSL_VERIFY='false'와 UPSTREAM_SSL_VERIFY='false'가 설정되며, 외부 요청에 사용되는 OpenResty/Lua HTTP 클라이언트는 체인 검증을 수행하지 않고 자기 서명 인증서 및 기타 신뢰할 수 없는 인증서를 포함한 모든 인증서를 허용합니다. Socket Firewall과 Socket API 또는 업스트림 패키지 레지스트리 간 트래픽을 가로챌 수 있는 공격자는 조작된 인증서를 제시하여 전송 중인 응답을 수정하고, 악성 패키지 콘텐츠를 대체하거나 방화벽이 적용하는 allow/block 결정을 변경할 수 있습니다. api_ssl_verify: true 및 upstream_ssl_verify: true를 설정하면 검증이 활성화되지만, 1.1.334 이전 버전에서는 생성된 nginx 구성에 lua_ssl_trusted_certificate가 포함되지 않았으므로 생성된 구성을 수동으로 패치하지 않고는 검증을 성공적으로 사용할 수 없었습니다. Version 2.0.0은 두 설정의 기본값을 true로 변경합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.