CVE-2026-90651

Nome do Software Vulnerável e Versões Afetadas Socket Firewall (socketdev/socket-registry-firewall) versões anteriores a 2.0.0

Description No modo de registro, o software não verifica os certificados TLS upstream por padrão. Quando as chaves de configuração api ssl verify e upstream ssl verify são omitidas do arquivo socket.yml, o sistema define SOCKET API SSL VERIFY e UPSTREAM SSL VERIFY como 'false'. Consequentemente, o cliente HTTP OpenResty/Lua aceita qualquer certificado, incluindo certificados autoassinados ou não confiáveis, sem validar a cadeia. Isso permite que um invasor capaz de interceptar o tráfego entre o firewall e a API do Socket ou um registro de pacotes upstream utilize um certificado forjado para modificar respostas, substituir conteúdo de pacotes ou alterar decisões de permissão/bloqueio. Em versões anteriores a 1.1.334, a configuração do nginx gerada não emitia a diretiva lua ssl trusted certificate, impedindo a verificação bem-sucedida mesmo que as configurações fossem habilitadas sem a aplicação de um patch manual.

Recommendations Atualizar para a versão 2.0.0 ou posterior. Para versões entre 1.1.334 e 2.0.0, defina api ssl verify: true e upstream ssl verify: true no arquivo socket.yml. Para versões anteriores a 1.1.334, aplique manualmente um patch na configuração do nginx gerada para incluir lua ssl trusted certificate e defina api ssl verify: true e upstream ssl verify: true no arquivo socket.yml.