CVE-2026-26994 in utls
Sumário
de VulDB • 05/06/2026
uTLS é um fork de crypto/tls, criado para personalizar o ClientHello com resistência à identificação (fingerprinting), mantendo seu uso durante a handshake. Nas versões 1.6.7 e anteriores, o uTLS não implementou o mecanismo de proteção contra downgrade do TLS 1.3 especificado na Seção 4.1.3 da RFC 8446 ao utilizar uma especificação ClientHello do uTLS. Isso permitia que um adversário ativo na rede realizasse o downgrade das conexões TLS 1.3 iniciadas por um cliente uTLS para uma versão inferior (por exemplo, TLS 1.2), modificando a mensagem ClientHello para excluir a extensão SupportedVersions, fazendo com que o servidor respondesse com um ServerHello do TLS 1.2 (juntamente com uma canary de downgrade no campo random do ServerHello). Como o uTLS não verificava a canary de downgrade no campo random do ServerHello, os clientes aceitavam a conexão degradada sem detectar o ataque. Esse ataque também poderia ser utilizado por um atacante ativo na rede para fingerprintar conexões uTLS. Este problema foi corrigido na versão 1.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.