جلسات WebSocket لا تحقق من شهادات TLS، مما يكشف مفاتيح API ورموز OAuth للمهاجمين الموجودين على المسار

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

توجد ثغرة في التحقق غير السليم من الشهادات في عميل بث WebSocket في agentjido req_llm تتيح لمهاجم على المسار قراءة وتعديل جلسات OpenAI WebSocket، بما في ذلك رمز التحقق، عبر شهادة TLS لا يثق بها العليط. تبدأ الدالة ReqLLM.Streaming.WebSocketSession.Client.start/3 في lib/req_llm/streaming/web_socket_session/client.ex خدمة WebSockex بدون خيارات TLS، وتتخذ WebSockex خيار insecure: true افتراضيًا، مما يتصل باستخدام verify: :verify_none. تؤدي قائمة السماح للخيارات أيضًا إلى إسقاط أي شهادات جذعية (cacerts) أو خيارات SSL (ssl_options) يقدمها المتصل، بحيث لا يمكن للتطبيق تفعيل التحقق. تصل مسارات WebSocket الخاصة بـ OpenAI Responses، وRealtime، وCodex إلى هذا العميل وترسل مفتاح API أو رمز وصول OAuth في ترويسة المصادقة. يقوم البث عبر HTTP باستخدام Finch وجلسة HTTP/2 المزدوجة عبر Mint بالتحقق من الشهادات ولا يتأثران بذلك. تؤثر هذه المشكلة على req_llm: من الإصدار 1.9.0 قبل 1.29.0.

المعالجة

1. أحصِ جميع نشرات agentjido req_llm، بما فيها بيئات الاختبار.
2. رقِّ agentjido req_llm إلى الإصدار 1.29.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/agentjido/req_llm/commit/c7264fc0217fbacfb5562234ff790b8e4462de76
• تحذيرhttps://github.com/agentjido/req_llm/security/advisories/GHSA-6vww-5m28-f26v
• مرجعhttps://cna.erlef.org/cves/CVE-2026-107685.html
• مرجعhttps://osv.dev/vulnerability/EEF-CVE-2026-107685
• مرجعhttps://github.com/agentjido/req_llm/commit/a389d718640ceb2d541a8f540ab954cbf5ef8313