平台
linux
组件
dde-control-center
修复版本
6.1.36
5.5.4
2.0.2
CVE-2026-35207 是 dde-control-center 中的一个中间人攻击 (MITM) 漏洞。该漏洞源于 plugin-deepinid 插件在从 openapi.deepin.com 或其他提供商获取用户头像时，未进行 TLS 证书验证。攻击者可以利用此漏洞拦截流量，替换头像，从而可能识别用户。受影响的版本包括 dde-control-center 5.5.3–>= 6.1.35 以及 < 6.1.80。该漏洞已在 dde-control-center 6.1.80 和 5.9.9 版本中修复。
该漏洞允许攻击者执行中间人攻击，拦截用户与 dde-control-center 插件之间的通信。攻击者可以替换用户头像，显示恶意或具有欺骗性的图像。虽然头像替换本身可能不会导致直接的数据泄露，但它可以被用于用户识别，并可能被用于进一步的社会工程攻击或其他恶意活动。攻击者可能利用此漏洞来监视用户活动，或在用户不知情的情况下进行其他操作。由于头像通常与用户账户相关联，因此该漏洞可能被用于识别和追踪特定用户。
目前尚未公开发现针对此漏洞的利用代码。该漏洞被评为中等风险，表明其被利用的可能性相对较低。CISA 尚未将其添加到 KEV 目录中。由于该漏洞涉及 TLS 证书验证绕过，因此可能存在与类似漏洞（如 SSL stripping 攻击）相关的风险。
Users of Deepin Desktop Environment who rely on the dde-control-center for managing their Deepin ID cloud service are at risk. This includes users on systems running affected versions of dde-control-center, particularly those in environments where network traffic is potentially susceptible to interception.
• linux / server:
journalctl -f -u dde-control-center | grep -i "tls certificate verification"• linux / server:
ps aux | grep deepinid• generic web: Use a network sniffer (e.g., Wireshark) to monitor traffic to openapi.deepin.com and look for connections without proper TLS certificate validation.
disclosure
漏洞利用状态
EPSS
0.02% (4% 百分位)
CISA SSVC
CVSS 向量
解决此漏洞的关键是升级到已修复的版本。建议立即将 dde-control-center 升级到 6.1.80 或 5.9.9 版本。如果无法立即升级，可以考虑使用反向代理或 Web 应用防火墙 (WAF) 来强制执行 TLS 证书验证。此外，可以审查 plugin-deepinid 插件的配置，确保已启用严格的 TLS 证书验证。升级后，请验证 TLS 证书验证是否已正确启用，并检查系统日志中是否有任何异常活动。
将 dde-control-center 包升级到 6.1.80 或更高版本，或如果正在使用低于 6.1.35 的版本，则升级到 5.9.9 版本。此更新修复了允许在下载头像时跳过 TLS 证书验证的错误配置，从而降低了中间人攻击的风险。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-35207 是 dde-control-center 中一个中间人攻击漏洞，由于未验证 TLS 证书，攻击者可以替换头像，可能识别用户。
如果您正在使用 dde-control-center 5.5.3–>= 6.1.35 以及 < 6.1.80 版本，则可能受到影响。
升级到 dde-control-center 6.1.80 或 5.9.9 版本以修复此漏洞。
目前尚未公开发现针对此漏洞的利用代码，但存在潜在风险。
请查阅 Deepin 官方安全公告或 dde-control-center 的 GitHub 仓库以获取更多信息。