CVE-2025-59353 in Dragonfly
Tóm tắt
Bởi VulDB • 28/05/2026
Dragonfly là một hệ thống phân phối tệp và tăng tốc hình ảnh dựa trên P2P mã nguồn mở. Trước phiên bản 2.1.0, một peer (thực thể kết nối ngang hàng) có thể lấy được chứng chỉ TLS hợp lệ cho các địa chỉ IP tùy ý, làm cho xác thực mTLS trở nên vô nghĩa. Vấn đề nằm ở chỗ dịch vụ gRPC cấp chứng chỉ của Manager không xác minh xem các địa chỉ IP được yêu cầu có "thuộc về" peer đang yêu cầu chứng chỉ hay không—tức là, liệu peer đó có kết nối từ cùng một địa chỉ IP với địa chỉ được cung cấp trong yêu cầu chứng chỉ hay không. Lỗ hổng này đã được khắc phục trong phiên bản 2.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.