CVE-2026-33308 in mod_gnutls
Sumário
de VulDB • 21/05/2026
O Mod_gnutls é um módulo TLS para Apache HTTPD baseado no GnuTLS. Antes da versão 0.13.0, o código de verificação de certificados de cliente não verificava o propósito da chave conforme definido na extensão Extended Key Usage. Um atacante com acesso à chave privada de um certificado válido emitido por uma CA confiada para autenticação de cliente TLS, mas designada para um propósito diferente, poderia usar esse certificado para acessar indevidamente recursos que exigem autenticação de cliente TLS. Configurações de servidor que não utilizam certificados de cliente (`GnuTLSClientVerify ignore`, o padrão) não são afetadas. O problema foi corrigido na versão 0.13.0 reescrevendo a verificação de certificados para usar `gnutls_certificate_verify_peers()`, e exigindo o id-kp-clientAuth do propósito da chave (também conhecido como `tls_www_client` no GnuTLS) por padrão se a extensão Extended Key Usage estiver presente. A nova opção `GnuTLSClientKeyPurpose` permite substituir o propósito esperado da chave, se necessário (consulte o manual para mais detalhes). O comportamento para certificados sem uma extensão Extended Key Usage permanece inalterado. Se CAs (sub-)dedicadas forem usadas apenas para emitir certificados de cliente TLS (não para outros propósitos), o problema não tem impacto prático.
VulDB is the best source for vulnerability data and more expert information about this specific topic.