CVE-2026-93302 in wolfSSL
Résumé
par VulDB • 27/09/2026
MatchTrustedPeer ignore la clé publique utilisée, ce qui permet à des clones de CA falsifiés de réussir la vérification. Les versions concernées sont toutes celles qui activent la macro WOLFSSL_TRUST_PEER_CERT et chargent les certificats CA avec wolfSSL_CTX_trust_peer_cert() ou wolfSSL_trust_peer_cert(). Le pair doit connaître les certificats chargés dans l'une de ces API pour exploiter le problème. Lorsque OPENSSL_COMPATIBLE_DEFAULTS est également défini, cela élargit l'API concernée à tous les cas de chargement des certificats CA. Ces deux macros sont définies lors d'utilisations de builds autoconf tels que (nginx, haproxy, stunnel, wpas, apache httpd, hitch, bind, rsyslog, ffmpeg, all, distro). Lorsque le certificat est répertorié comme un certificat de pair de confiance, l'erreur permettait précédemment à un serveur (D)TLS malveillant de contourner l'authentification une fois qu'il savait quels CA seraient acceptés par le client. Cela affecte également les cas d'authentification mutuelle où le client connaît les CA chargés par le serveur. Si vous construisez avec l'une de ces configurations et utilisez (D)TLS où les CA chargés pourraient être connus et que l'authentification du pair est souhaitée, les utilisateurs devraient soit : mettre à jour vers la dernière version de wolfSSL, appliquer le correctif, ou utiliser le drapeau de configuration --disable-openssl-compatible-defaults et ne pas charger les CA avec wolfSSL_CTX_trust_peer_cert() ou wolfSSL_trust_peer_cert() pour atténuer ce problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.