CVE-2026-93304
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Klient (D)TLS 1.2 może zaakceptować komunikat ChangeCipherSpec przed wysłaniem swojego ClientKeyExchange. W tym momencie nie wyprowadzono żadnego głównego sekretu, więc klient instaluje odczytane klucze pochodzące ze znanego (deterministycznego) klucza i sprawdza, czy serwer zakończył pracę z tym samym kluczem. Osoba atakująca może zatem wykorzystać niewłaściwą specyfikację ChangeCipherSpec do zakończenia uzgadniania zamiast serwera i wysłania danych, które klient uzna za autentyczne. Własny ruch klienta nadal wykorzystuje poprawnie wyprowadzone klucze, więc atakujący nie może go odczytać, a prawdziwy serwer nigdy nie kończy uzgadniania. Klienci DTLS 1.2 są narażeni, ponieważ odczyt datagramu może sam dostarczyć rekordy poza kolejnością. Klienci TLS 1.2 są narażeni, gdy aplikacja dostarcza odebrane bajty za pomocą funkcji wolfSSL_inject() lub umożliwia odczyt z wyprzedzeniem. W przypadku pakietów certyfikatów osoba atakująca musi znajdować się w pozycji „człowiek pośrodku”. W przypadku połączeń PSK (Pre Shared Key) każdy fałszywy serwer może odnieść sukces bez znajomości PSK.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org