CVE-2026-32253
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Sunshine, samodzielnie hostowanym serwerze strumieniowania gier dla Moonlight, w wersjach przed 2026.516.143833, uwierzytelnianie certyfikatem klienta może zostać ominięte z powodu sposobu obsługi wyników weryfikacji OpenSSL. Funkcja zwrotna weryfikacji traktuje niektóre błędy jako sukces, co pozwala na użycie niezaufanego certyfikatu.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych punktów końcowych HTTPS, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację Sunshine do wersji 2026.516.143833 lub nowszej.
Inne podatności w Sunshine
Zobacz wszystkie- CVE-2026-111044Wysokie
Sunshine w wersjach od 2026.329.165800 do 2026.906.222525 akceptował każdy certyfikat klienta, który łańcuchowo pochodził od zapisanego certyfikatu sparowanego klienta, nie wymagając, aby był to dokładnie ten sam włączony certyfikat tożsamości. Porównanie tekstu certyfikatu odbywało się bez kanonizacji równoważnych kodowań PEM, co pozwalało wcześniej sparowanemu klientowi na obejście kontroli Disable.
- CVE-2025-54081Średnie
Usługa Windows SunshineService jest instalowana z niecytowaną ścieżką do pliku wykonywalnego. Jeśli Sunshine jest zainstalowany w katalogu zawierającym spację w nazwie, Menedżer sterowania usługami (SCM) interpretuje ścieżkę stopniowo i może wykonać złośliwy plik umieszczony wcześniej w ciągu wyszukiwania. Problem został naprawiony w wersji 2025.923.33222.
Oryginalny opis (angielski, źródło NVD)
Sunshine is a self-hosted game stream host for Moonlight. In versions prior to 2026.516.143833, the client-certificate authentication can be bypassed because of how OpenSSL verification results are handled. In src/crypto.cpp, the custom verify callback treats X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY, X509_V_ERR_CERT_NOT_YET_VALID, and X509_V_ERR_CERT_HAS_EXPIRED as success. This can allow an untrusted certificate to pass authentication and access protected HTTPS endpoints. This issue has been fixed in version 2026.516.143833.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS