CVE-2026-8367
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
aria2c akceptuje certyfikat serwera z nieprawidłowym rozszerzonym użyciem klucza (EKU). Jeśli atakujący skompromituje certyfikat (z powiązanym kluczem prywatnym) wydany do innego celu, może go ponownie wykorzystać do uwierzytelniania serwera TLS.
Ocena ryzyka
Atakujący może podszyć się pod zaufany serwer, co może prowadzić do przechwycenia danych przesyłanych przez TLS lub ataków man-in-the-middle.
Rekomendacja
Zaktualizuj aria2 do wersji, która weryfikuje EKU certyfikatów, lub skonfiguruj klienta tak, aby odrzucał certyfikaty z nieprawidłowym EKU.
Inne podatności w aria2
Zobacz wszystkie- CVE-2026-75421Niskie ryzyko· EPSS 5%
Podatność niedopełnienia bufora (stack-buffer-underflow) w funkcji IOFile::getLine() w aria2 w wersji 1.37.0 i wcześniejszych.
- CVE-2026-71832Średnie
Aria2 w wersji 1.37.0 i wcześniejszych jest dotknięty problemem dzielenia przez zero w src/bittorrent_helper.cc, co pozwala zdalnemu złośliwemu użytkownikowi na spowodowanie odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
aria2c accepts a server certificate with incorrect Extended Key Usage (EKU). If the attackers compromise a certificate (with the associated private key) issued for a different purpose, they may be able to reuse it for TLS server authentication.