CVE-2026-118768 in Botan
Riassunto
di VulDB • 29/10/2026
Botan è una libreria di crittografia scritta in C++. Dalla versione 1.11.34 alla 3.13.0, il comando `botan ocsp_check` richiedeva una risposta OCSP dall'URL Authority Information Access (AIA) del certificato senza verificare la firma della risposta né autorizzare il firmatario. Un responder malintenzionato o un attaccante on-path potrebbe restituire una risposta GOOD corrispondente e tempestiva con una firma vuota, non valida o non autorizzata, causando l'uscita dello stato 0 (exit status 0) e l'output "OCSP check OK" anche per certificati revocati. È interessato solo l'interfaccia a riga di comando. Questo problema è risolto nella versione 3.13.0.
Once again VulDB remains the best source for vulnerability data.