gopay: Deaktivierte TLS-Zertifikatsprüfung im Standard-HTTP-Client

Zusammenfassung

Das Go-SDK gopay für Zahlungs-APIs deaktiviert in seinem Standard-HTTP-Client vor Version 1.5.119 die Prüfung von TLS-Zertifikaten. Ein Angreifer, der sich im Netzwerkpfad zwischen der Anwendung und einem Zahlungsanbieter befindet, kann ein beliebiges Zertifikat vorlegen und sich als Zahlungsanbieter ausgeben. Dadurch lassen sich Zugangsdaten des Händlers, Signaturen und Transaktionsdaten auslesen sowie Antworten zu Zahlungen, Rückerstattungen und Bestellabfragen manipulieren. Relevant ist die Lücke nur, wenn eine Go-Anwendung mit gopay über einen nicht vertrauenswürdigen Netzwerkpfad mit Zahlungs-APIs kommuniziert.

Betroffen

• gopay-Versionen vor 1.5.119 (Bereich laut CNA: 0 bis unter 1.5.119)
• Anwendungen, die den Standard-Client aus pkg/xhttp verwenden, sofern keine eigene TLS-Konfiguration gesetzt wurde

Behoben in

• gopay 1.5.119 (TLS-Zertifikatsprüfung ist standardmässig aktiviert)

Umgehung

• Auf gopay 1.5.119 oder neuer aktualisieren (empfohlen).
• Falls ein Update nicht sofort möglich ist, einen eigenen HTTP-Client konfigurieren, der die Zertifikatsprüfung explizit aktiviert und einen vertrauenswürdigen CA-Pool verwendet. Dafür ist eine Codeänderung nötig.
• Keine Einstellungen zum Überspringen der Prüfung oder für selbstsignierte Zertifikate im Produktivbetrieb verwenden, da diese die Lücke wieder einführen.

Ausnutzung

• Keine aktive Ausnutzung bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
• EPSS: 0.00163.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Ermitteln, welche Go-Anwendungen github.com/go-pay/gopay importieren (Prüfung von go.mod und Lockfiles).
• gopay auf 1.5.119 oder neuer aktualisieren.
• Alle InsecureSkipVerify- beziehungsweise Skip-Verify-Überschreibungen entfernen, insbesondere solche aus Sandbox-Konfigurationen, die in den Produktivbetrieb übernommen wurden.
• Zahlungsintegrationen bis zum Abschluss des Updates auf ungewöhnliche Zertifikats- oder Antwortfehler überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GoPay GitHub repository github.com
• gopay client.go at v1.5.118 github.com
• VulnCheck advisory www.vulncheck.com
• VulDB CVE-2026-105218 vuldb.com
• Rapid7 data via Vulners vulners.com
• GoPay GitHub issue 540 github.com
• GoPay GitHub wiki github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:34.