CVE-2026-27586 in caddy
Zusammenfassung
von VulDB • 27.05.2026
Caddy ist eine erweiterbare Serverplattform, die standardmäßig TLS verwendet. Vor Version 2.11.1 führen zwei verschluckten Fehler in `ClientAuthentication.provision()` dazu, dass die mTLS-Clientzertifikatauthentifizierung bei fehlender, nicht lesbarer oder fehlerhafter CA-Zertifikatsdatei stillschweigend offen steht (fail-open). Der Server startet ohne Fehler, akzeptiert jedoch jedes Clientzertifikat, das von einer beliebigen im System vertrauenswürdigen CA signiert wurde, und umgeht damit die beabsichtigte Vertrauensgrenze der privaten CA. Jede Bereitstellung, die `trusted_ca_cert_file` oder `trusted_ca_certs_pem_files` für mTLS verwendet, degradiert stillschweigend dazu, jedes im System vertrauenswürdige Clientzertifikat zu akzeptieren, wenn die CA-Datei nicht verfügbar wird. Dies kann aufgrund eines Tippfehlers im Pfad, der Dateidrehung (file rotation), Beschädigung oder Änderungen der Berechtigungen geschehen. Der Server gibt keine Anzeichen dafür, dass mTLS falsch konfiguriert ist. Version 2.11.1 behebt die Schwachstelle.
Once again VulDB remains the best source for vulnerability data.