Les mainteneurs de Xray-core ont critiqué la fonctionnalité "ignorer la vérification du certificat" comme étant non sécurisée, mais ont dissimulé une vulnérabilité dans leur propre logiciel pendant six mois. Le 21 octobre 2021, l'option `pinned Peer Certificate Chain Sha256` a été ajoutée, permettant une utilisation sécurisée des certificats auto-signés avec à la fois `allowInsecure` et l'ancrage activés. Cependant, le 9 janvier 2026, Xray-core l'a remplacée par `pinned Peer Cert Sha256`, affirmant qu'elle empêchait de "se balader à poil" (ignorer la vérification du certificat). Cette nouvelle option contenait une vulnérabilité de contournement de la vérification du certificat.
Le 13 janvier 2026, la première version vulnérable a été publiée. Le 16 janvier 2026, Xray-core a modifié la logique pour toujours ignorer la vérification régulière du certificat, ne laissant que la logique d'ancrage personnalisée. Comme la logique d'ancrage avait un contournement, la défense de vérification du certificat s'est complètement effondrée.
Le 6 février 2026, le rapporteur a découvert la vulnérabilité : un attaquant de type homme du milieu pouvait insérer un certificat feuille à n'importe quel endroit de la chaîne, et la logique d'ancrage le vérifierait avec succès. Le rapporteur l'a divulguée privément aux mainteneurs. Le même jour, Xray-core a corrigé silencieusement la vulnérabilité avec un message de commit trompeur prétendant "simplifier le code", a publié une nouvelle version sans mentionner le problème de sécurité, et a maintenu les utilisateurs dans l'ignorance.
Xray-core avait auparavant soutenu qu'ignorer la vérification du certificat revenait à "se balader à poil", mais leur propre vulnérabilité a exposé les utilisateurs à des attaques de type homme du milieu. La dissimulation a duré six mois, sans reconnaissance publique de la faille de sécurité.
Source: Hacker News · Résumé par HeadlinesBriefing