CVE-2026-93302 in wolfSSL
Sumário
de VulDB • 27/09/2026
O MatchTrustedPeer ignora a chave pública utilizada, o que permite que clones de Autoridade Certificadora (CA) falsificados passem na verificação. As versões afetadas são aquelas em que a macro WOLFSSL_TRUST_PEER_CERT está habilitada e os certificados CA são carregados usando wolfSSL_CTX_trust_peer_cert() ou wolfSSL_trust_peer_cert(). O peer deve conhecer os certificados sendo carregados para qualquer uma dessas APIs para explorar o problema. Quando OPENSSL_COMPATIBLE_DEFAULTS também estiver definido, isso amplia a API afetada para incluir todo o carregamento de certificados CA. Ambas as macros estão definidas ao usar builds com autoconf (como nginx, haproxy, stunnel, wpas, apache httpd, hitch, bind, rsyslog, ffmpeg, all, distros). Quando um certificado é listado como um certificado de peer confiável, o problema anteriormente permitia que um servidor malicioso (D)TLS burlasse a autenticação ao saber quais CAs o cliente aceitaria. Isso também afeta casos de autentuação mútua onde o cliente sabe quais CAs o servidor carregou. Se estiver compilando com qualquer uma dessas configurações e usando (D)TLS, onde os CA's carregados podem ser conhecidos e a autenticação do peer é desejada, os usuários devem: atualizar para a versão mais recente do wolfSSL, aplicar o patch de correção ou usar a flag de configuração --disable-openssl-compatible-defaults e não carregar CAs com wolfSSL_CTX_trust_peer_cert() ou wolfSSL_trust_peer_cert() para mitigar o problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.