CVE-2026-105216: в go-micro до 6.0.0 по умолчанию отключена проверка TLS-сертификатов
В библиотеке go-micro до версии 6.0.0 обнаружена критическая уязвимость неправильной проверки сертификатов: общий TLS-хелпер устанавливает InsecureSkipVerify в значение true по умолчанию. Это позволяет атакующему в сети выдавать себя за сервисы и перехватывать трафик gRPC, HTTP, RabbitMQ, а также обращения к Consul и etcd. Оценка CVSS — 9.1 (CRITICAL).
Подробности
Уязвимость связана с общим TLS-хелпером go-micro: он выставляет параметр InsecureSkipVerify в значение true по умолчанию. В результате клиентская сторона не проверяет цепочку доверия и подлинность сертификата сервера. Это означает, что любое TLS-соединение, установленное с использованием этого хелпера, фактически не защищено от подмены сертификата. Атакующий, находящийся в той же сети (или способный влиять на маршрутизацию трафика), может провести атаку типа «человек посередине» (MITM): предъявить произвольный сертификат, выдать себя за легитимный сервис и перехватывать либо модифицировать трафик. Под угрозой оказываются: - транспорт gRPC между микросервисами; - HTTP-соединения и обмен через брокер RabbitMQ; - обращения к реестрам сервисов Consul и etcd. Поскольку через эти каналы передаются в том числе токены аутентификации и учётные данные, последствия компрометации выходят далеко за рамки одного сервиса: злоумышленник может получить доступ к внутренним API, подменить ответы реестра и закрепиться в инфраструктуре. Уязвимость не требует аутентификации и эксплуатируется удалённо, что и обуславливает критический уровень оценки.Что делать
Основная рекомендация — обновить go-micro до версии 6.0.0 или выше, где поведение TLS-хелпера исправлено. После обновления проверьте, что нигде в конфигурации не осталось явного отключения проверки сертификатов. Если обновление невозможно в короткие сроки, примените компенсирующие меры: - задайте собственный tls.Config с InsecureSkipVerify: false и корректно настроенным корневым сертификатом (RootCAs) вместо использования хелпера по умолчанию; - включите в клиентах проверку имени хоста (ServerName) и использование доверенных CA; - ограничьте сетевую доступность внутренних сервисов, реестров Consul/etcd и брокера RabbitMQ, чтобы снизить возможности MITM-атак; - используйте mTLS с взаимной проверкой сертификатов между сервисами; - проведите аудит журналов на предмет подозрительных подключений и возможной компрометации токенов, при необходимости выполните ротацию учётных данных. Итог: CVE-2026-105216 — критическая уязвимость, при которой защита каналов связи в go-micro до 6.0.0 фактически отсутствует из-за отключённой по умолчанию проверки сертификатов. Единственное надёжное решение — переход на версию 6.0.0 и выше; до этого следует вручную настроить строгую проверку TLS и ограничить сетевой доступ к критичным компонентам.Источник: CVE Project (cvelistV5)