CVE-2026-32253
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Sunshine, samodzielnie hostowanym serwerze strumieniowania gier dla Moonlight, w wersjach przed 2026.516.143833, uwierzytelnianie certyfikatem klienta może zostać ominięte z powodu sposobu obsługi wyników weryfikacji OpenSSL. Funkcja zwrotna weryfikacji traktuje niektóre błędy jako sukces, co pozwala na użycie niezaufanego certyfikatu.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych punktów końcowych HTTPS, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację Sunshine do wersji 2026.516.143833 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Sunshine is a self-hosted game stream host for Moonlight. In versions prior to 2026.516.143833, the client-certificate authentication can be bypassed because of how OpenSSL verification results are handled. In src/crypto.cpp, the custom verify callback treats X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY, X509_V_ERR_CERT_NOT_YET_VALID, and X509_V_ERR_CERT_HAS_EXPIRED as success. This can allow an untrusted certificate to pass authentication and access protected HTTPS endpoints. This issue has been fixed in version 2026.516.143833.