CVE-2026-33308 in mod_gnutls
要約
〜によって VulDB • 2026年05月26日
Mod_gnutlsは、GnuTLSを基盤としたApache HTTPD用のTLSモジュールです。バージョン0.13.0より前では、クライアント証明書検証のコードは、Extended Key Usage（EKU）拡張で設定されたキーの用途をチェックしていませんでした。TLSクライアント認証のために信頼されたCAによって発行され、かつ有効な証明書ですが、異なる用途に指定された秘密鍵にアクセスできる攻撃者は、その証明書を使用して、TLSクライアント認証を必要とするリソースに不正にアクセスすることができました。クライアント証明書を使用しないサーバー設定（`GnuTLSClientVerify ignore`、デフォルト）は影響を受けません。この問題は、バージョン0.13.0で証明書検証を`gnutls_certificate_verify_peers()`を使用するように書き換えることで修正されました。また、Extended Key Usage拡張が存在する場合は、デフォルトでキーの用途id-kp-clientAuth（GnuTLSでは`tls_www_client`としても知られる）を要求するようになりました。新しい`GnuTLSClientKeyPurpose`オプションにより、必要に応じて期待されるキーの用途を上書きすることができます（詳細はマニュアルを参照してください）。Extended Key Usage拡張を持たない証明書に関する動作は変更されていません。TLSクライアント証明書の発行のみを目的とした専用（サブ）CAが使用されている場合、この問題は実用的な影響を持ちません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.