CVE-2026-119559

ŚrednieCVSS 5.9

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

OpenLiteSpeed do wersji 1.9.4 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć wymagania dotyczące certyfikatów klienta wirtualnego hosta przez HTTP/3. Ponieważ QuicStream dziedziczy implementację verifyContext(), która zawsze zwraca true, atakujący mogą przedstawić SNI hosta bez mTLS z chronionym nagłówkiem Host, aby uzyskać dostęp do chronionej zawartości.

Ocena ryzyka

Atakujący może uzyskać dostęp do zasobów chronionych certyfikatami klienta bez ważnego uwierzytelnienia, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia poufności.

Rekomendacja

Zaktualizuj OpenLiteSpeed do wersji nowszej niż 1.9.4 lub wdroż poprawkę producenta. Do czasu aktualizacji rozważ wyłączenie HTTP/3 lub zaostrzenie kontroli dostępu na poziomie sieci.

Inne podatności w OpenLiteSpeed

CVE-2026-104474Średnie
OpenLiteSpeed przed wersją 1.9.3 zawiera podatność lokalnego podniesienia uprawnień w admin/misc/lsup.sh, która uruchamia niezweryfikowane pakiety aktualizacji z katalogu zapisywalnego przez użytkownika nobody jako root. Atakujący kontrolujący proces webowy nobody może zastąpić pakiet w /usr/local/lsws/autoupdate/ przed rozpakowaniem, więc jego install.sh uruchomi się jako root przy następnej aktualizacji.

Oryginalny opis (angielski, źródło NVD)

OpenLiteSpeed through 1.9.4 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to evade virtual host client certificate requirements over HTTP/3. Because QuicStream inherits a verifyContext() implementation that always returns true, attackers can present a non-mTLS host's SNI with a protected Host header to access protected content.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS