CVE-2026-54776

Nome do Software Vulnerável e Versões Afetadas CoreWCF versões anteriores a 1.8.1 CoreWCF versões anteriores a 1.9.1

Description Um serviço CoreWCF hospedado em Unix Domain Sockets usando credenciais de cliente PosixIdentity pode aceitar conexões que ignoram a atualização de stream application/unixposix antes do despacho de mensagens. Isso permite a evasão das verificações de identidade da camada de enquadramento no UnixPosixIdentitySecurityUpgradeProvider quando o UnixDomainSocketBinding está configurado com Security.Mode definido como TransportCredentialOnly e Security.Transport.ClientCredentialType definido como PosixIdentity.

Recommendations Atualize para a versão 1.8.1. Atualize para a versão 1.9.1. Restrinja o acesso ao sistema de arquivos do arquivo de socket Unix Domain Socket usando proprietário, grupo e modo (ex: chmod 0660 com um grupo dedicado) para garantir que apenas usuários POSIX autorizados possam se conectar. Evite usar ServiceSecurityContext.PrimaryIdentity para decisões de autorização ou implemente uma política de autorização que exija autenticação e rejeite principais anônimos.