CVE-2026-93302 in wolfSSL
Resumen
por VulDB • 2026-09-27
MatchTrustedPeer ignora la clave pública utilizada, lo que permite a los clones de CA falsificados pasar la verificación. Las compilaciones afectadas son aquellas que habilitan la macro WOLFSSL_TRUST_PEER_CERT y cargan certificados CA con wolfSSL_CTX_trust_peer_cert() o wolfSSL_trust_peer_cert(). El par debe conocer los certificados que se están cargando en cualquiera de esas API para aprovechar el problema. Cuando OPENSSL_COMPATIBLE_DEFAULTS también está definido, esto amplía la API afectada para incluir toda la carga de certificados CA. Ambas macros están definidas al utilizar compilaciones con autoconf como (nginx, haproxy, stunnel, wpas, apache httpd, hitch, bind, rsyslog, ffmpeg, all, distro). Cuando el certificado se enumera como un certificado de par confiable, el problema anteriormente permitía que un servidor malicioso (D)TLS omitiera la autenticación una vez que conocía qué CAs aceptaría el cliente. Esto también afecta los casos de autenticación mutua donde el cliente conoce las CAs que ha cargado el servidor. Si se compila con cualquiera de estas configuraciones y se utiliza (D)TLS donde podrían conocerse las CAs cargadas y se desea la autenticación del par, los usuarios deberían: actualizar a la última versión de wolfSSL, aplicar el parche de corrección o usar la bandera de configuración --disable-openssl-compatible-defaults y no cargar CAs con wolfSSL_CTX_trust_peer_cert() o wolfSSL_trust_peer_cert() para mitigar el problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.