ClashMiの脆弱性、TLS証明書検証の無効化で更新時に悪意あるインストーラーを配布される
Summary
ClashMiの1.0.32.1801以前では、HttpUtilsの既定設定でTLS証明書の検証が無効になっており、通信を傍受して偽の更新情報を送り込まれるおそれがあります。偽の更新情報で悪意あるインストーラーを読み込ませると、更新の実行時にコードを動かされる可能性があり、CVSS v3.1は7.5、v4.0は7.7です。修正版の有無は確認できていないため、最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ClashMiの1.0.32.1801以前では、HttpUtilsの既定設定でTLS証明書の検証が無効になっており、通信を傍受して偽の更新情報を送り込まれるおそれがあります。偽の更新情報で悪意あるインストーラーを読み込ませると、更新の実行時にコードを動かされる可能性があり、CVSS v3.1は7.5、v4.0は7.7です。修正版の有無は確認できていないため、最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| KaringX | clashmi |
≤ 1.0.32.1801 |
— |
Original description The description as published by the source.
KaringX ClashMi through 1.0.32.1801 disables TLS certificate validation by default in the HttpUtils helper, allowing attackers to intercept HTTPS traffic by presenting any certificate. Attackers operating the user's proxy node can serve a forged update manifest omitting sha256 to deliver a malicious installer, achieving code execution when the update runs.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com