CVE-2026-111044
WysokieCVSS 7.6Streszczenie
Sunshine w wersjach od 2026.329.165800 do 2026.906.222525 akceptował każdy certyfikat klienta, który łańcuchowo pochodził od zapisanego certyfikatu sparowanego klienta, nie wymagając, aby był to dokładnie ten sam włączony certyfikat tożsamości. Porównanie tekstu certyfikatu odbywało się bez kanonizacji równoważnych kodowań PEM, co pozwalało wcześniej sparowanemu klientowi na obejście kontroli Disable.
Ocena ryzyka
Klient, który został wcześniej sparowany i zachował swój klucz prywatny, może przedstawić alternatywny certyfikat i obejść mechanizm wyłączania. Może to prowadzić do nieautoryzowanego dostępu do strumieniowania gier.
Rekomendacja
Zaktualizuj Sunshine do wersji 2026.906.222525 lub nowszej. Usuń nieużywane sparowane klienty, aby ograniczyć zaufanie.
Inne podatności w Sunshine
Zobacz wszystkie- CVE-2026-32253Krytyczne
W Sunshine, samodzielnie hostowanym serwerze strumieniowania gier dla Moonlight, w wersjach przed 2026.516.143833, uwierzytelnianie certyfikatem klienta może zostać ominięte z powodu sposobu obsługi wyników weryfikacji OpenSSL. Funkcja zwrotna weryfikacji traktuje niektóre błędy jako sukces, co pozwala na użycie niezaufanego certyfikatu.
- CVE-2025-54081Średnie
Usługa Windows SunshineService jest instalowana z niecytowaną ścieżką do pliku wykonywalnego. Jeśli Sunshine jest zainstalowany w katalogu zawierającym spację w nazwie, Menedżer sterowania usługami (SCM) interpretuje ścieżkę stopniowo i może wykonać złośliwy plik umieszczony wcześniej w ciągu wyszukiwania. Problem został naprawiony w wersji 2025.923.33222.
Oryginalny opis (angielski, źródło NVD)
Sunshine is a self-hosted game stream host for Moonlight. From 2026.329.165800 until 2026.906.222525, Sunshine accepted any client certificate that chained to a stored paired-client certificate, but it did not require the presented certificate to be the exact enabled paired identity. Certificate text was also compared without canonicalizing equivalent PEM encodings. A previously paired client that retains its private key can present an alternate certificate derived from its paired certificate and bypass the Disable control. Equivalent PEM encodings could also cause inconsistent client identity handling. A client that was never paired cannot use this issue, and removing the paired client removes its trust relationship. This issue is fixed in version 2026.906.222525.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS