Tóm tắt nhanh
- CVE-2026-105794 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.1) ảnh hưởng Microsoft.Native.Quic.MsQuic.OpenSSL.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.0%, cao hơn 62.8% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2.5.11, 2.6.1, 2.4.20 hoặc mới hơn.
Mô tả
Summary
Improper TLS hostname verification allows a man-in-the-middle (MITM) attack on MsQuic.
Details
Only MsQuic with the OpenSSL and QuicTLS TLS backends is affected (the Schannel backend is not affected).
Patches
2.6.1, 2.5.11, and 2.4.20
Impact
An on-path attacker could spoof a server identity by using a certificate that doesn't match the intended target server hostname.
Mô tả của NVD
MsQuic is a cross-platform C implementation of the IETF QUIC protocol exposed to C, C++, C#, and Rust. Prior to 2.4.20, 2.5.11, and 2.6.1, MsQuic clients using the OpenSSL or QuicTLS TLS backend do not properly verify that a server certificate matches the intended target server hostname. An on-path attacker can therefore present a certificate that does not match the intended target hostname and spoof the server in a man-in-the-middle attack. The Schannel backend is not affected. This issue is fixed in versions 2.4.20, 2.5.11, and 2.6.1.
Lỗ hổng khác của Microsoft.Native.Quic.MsQuic.OpenSSL
Xem tất cả →Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí