CVE-2026-48697: FastNetMon 配置了 TLS 但从未要求验证任何内容 漏洞概述 FastNetMon 向 发送定期遥测数据。该连接使用 HTTPS，但 TLS 配置不完整：代码创建了 并加载了系统 CA 证书，但从未调用 。 这导致默认验证模式为 ，TLS 握手完成时不检查证书链是否有效、主机名是否匹配、证书是否过期或被吊销。 影响：任何网络路径上的攻击者（如 ISP、局域网攻击者、中间人）都可以拦截、读取和修改遥测数据流，通过提供任意证书（包括自签名证书、过期证书、错误主机名的证书等）来实施中间人攻击。 影响范围 受影响软件：FastNetMon Community Edition <= 1.2.9 漏洞类型：CWE-295 (Improper Certificate Validation) 攻击向量：远程（网络相邻，MITM） 遥测数据内容：CPU 型号、内核版本、配置功能、流量统计、软件版本等指纹信息 修复方案 代码修复 补偿控制 1. 禁用遥测提交：在 中将 设置为 2. 阻止出站流量：防火墙阻止到 的出站连接 3. 审计防火墙日志：检查意外的出站 HTTPS 连接 4. 使用强制出口代理：在 FastNetMon 主机上运行带有 TLS 终止的转发代理（如 Squid、Envoy） 披露时间线 2026-04-25：Lorikeet Security 在 FastNetMon Community Edition 1.2.9 源代码审计中发现漏洞 2026-04-25：CVE ID 从 MITRE 请求 2026-04-25：供应商（Pavel Odintsov / FastNetMon LTD）在 SECURITY.md 中公布的联系方式处收到通知 2026-05-23：CVE-2026-48697 由 MITRE 分配 2026-05-23：Lorikeet Security 发布负责任披露报告