CVE-2026-111044 Evasión de revocación en Sunshine con certificados de cliente derivados

Qué es CVE-2026-111044

Sunshine aceptaba cualquier certificado de cliente que encadenara con un certificado de cliente emparejado almacenado, sin exigir que fuera la identidad habilitada exacta, y comparaba el texto de los certificados sin canonicalizar codificaciones PEM equivalentes. Un cliente previamente emparejado que conserva su clave privada puede presentar un certificado alternativo derivado y evadir el control Disable. Corregido en la versión 2026.906.222525.

Productos y versiones afectadas

• LizardByte Sunshine

  • >= 2026.329.165800, < 2026.906.222525

Qué hacer

1. Verificá si usás Sunshine y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.6 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

Sunshine is a self-hosted game stream host for Moonlight. From 2026.329.165800 until 2026.906.222525, Sunshine accepted any client certificate that chained to a stored paired-client certificate, but it did not require the presented certificate to be the exact enabled paired identity. Certificate text was also compared without canonicalizing equivalent PEM encodings. A previously paired client that retains its private key can present an alternate certificate derived from its paired certificate and bypass the Disable control. Equivalent PEM encodings could also cause inconsistent client identity handling. A client that was never paired cannot use this issue, and removing the paired client removes its trust relationship. This issue is fixed in version 2026.906.222525.

Referencias

• github.com/LizardByte/Sunshine/security/advisories/GHSA-6jvv-jqr7-m6m3X_REFSOURCE_CONFIRM
• github.com/LizardByte/Sunshine/commit/4d768847fcd88cc94ac745c4611715c67d7d67e1X_REFSOURCE_MISC
• github.com/LizardByte/Sunshine/releases/tag/v2026.906.222525X_REFSOURCE_MISC

Historial de la alerta

1. 16 OCT · 21:56VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.