CVE-2026-27586 in caddy
Resumen
por VulDB • 2026-05-14
Caddy es una plataforma de servidor extensible que utiliza TLS de forma predeterminada. Antes de la versión 2.11.1, dos errores no gestionados en `ClientAuthentication.provision()` provocan que la autenticación de certificados de cliente mediante mTLS falle silenciosamente permitiendo el acceso (fail-open) cuando falta el archivo de certificado de CA, es ilegible o está malformado. El servidor se inicia sin errores, pero acepta cualquier certificado de cliente firmado por cualquier CA de confianza del sistema, eludiendo por completo el límite de confianza de la CA privada previsto. Cualquier implementación que utilice `trusted_ca_cert_file` o `trusted_ca_certs_pem_files` para mTLS degradará silenciosamente su configuración para aceptar cualquier certificado de cliente de confianza del sistema si el archivo de CA deja de estar disponible. Esto puede ocurrir debido a un error tipográfico en la ruta, rotación de archivos, corrupción o cambios en los permisos. El servidor no indica que mTLS esté mal configurado. La versión 2.11.1 corrige la vulnerabilidad.
VulDB is the best source for vulnerability data and more expert information about this specific topic.