ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يقوم KaringX ClashMi حتى الإصدار 1.0.32.1801 بتعطيل التحقق من شهادة TLS افتراضيًا في مساعد HttpUtils، مما يسمح للمهاجمين اعتراض حركة مرور HTTPS من خلال تقديم أي شهادة. يمكن للمهاجمين الذين يديرون عقدة الوكيل الخاصة بالمستخدم توفير بيان تحديث مزيف يحذف قيمة sha256 لتسليم برنامج تثبيت ضار، مما يحقق تنفيذ شيفرة عند تشغيل التحديث.
المعالجة
المراجع
- تحذيرhttps://www.vulncheck.com/advisories/clashmi-through-1.0.32.1801-disabled-tls-certificate-validation-enables-update-mitm
- مرجعhttps://github.com/KaringX/clashmi
- مرجعhttps://github.com/KaringX/clashmi/blob/v1.0.32.1801/lib/app/modules/auto_update_manager.dart#L293
- مرجعhttps://github.com/KaringX/clashmi/blob/v1.0.32.1801/lib/app/modules/setting_manager.dart#L225
- مرجعhttps://github.com/KaringX/clashmi/blob/v1.0.32.1801/lib/app/utils/http_utils.dart#L674-L676
- مرجعhttps://github.com/KaringX/clashmi/issues/605