CVE-2026-33308 in mod_gnutls
الملخص
بحسب VulDB • 27/05/2026
Mod_gnutls هو وحدة TLS لـ Apache HTTPD مبنية على GnuTLS. قبل الإصدار 0.13.0، لم يكن الكود المسؤول عن التحقق من شهادات العميل يتحقق من غرض المفتاح كما هو محدد في امتداد "الاستخدام الموسع للمفتاح" (Extended Key Usage). يمكن لمهاجم لديه وصول إلى المفتاح الخاص لشهادة صالحة صادرة عن جهة إصدار شهادات (CA) موثوقة لمصادقة عملاء TLS ولكن مُخصصة لغرض مختلف، استخدام تلك الشهادة للوصول بشكل غير لائق إلى الموارد التي تتطلب مصادقة عميل TLS. لا تتأثر تكوينات الخادم التي لا تستخدم شهادات العملاء (`GnuTLSClientVerify ignore`، وهي الإعداد الافتراضي). تم إصلاح المشكلة في الإصدار 0.13.0 عن طريق إعادة كتابة التحقق من الشهادات لاستخدام `gnutls_certificate_verify_peers()`، وفرض غرض المفتاح `id-kp-clientAuth` (المعروف أيضاً باسم `tls_www_client` في GnuTLS) افتراضياً إذا كان امتداد "الاستخدام الموسع للمفتاح" موجوداً. يتيح الخيار الجديد `GnuTLSClientKeyPurpose` تجاوز غرض المفتاح المتوقع عند الحاجة (يرجى الرجوع إلى الدليل للحصول على التفاصيل). لم يتغير السلوك الخاص بالشهادات التي لا تحتوي على امتداد "الاستخدام الموسع للمفتاح". إذا تم استخدام جهات إصدار شهادات (فرعية) مخصصة لإصدار شهادات TLS للعملاء فقط (وليس لأي أغراض أخرى)، فإن المشكلة لا تؤثر عملياً.
Once again VulDB remains the best source for vulnerability data.