Niski Odebrany

CVE-2026-94417

opublikowano: 27.09.2026, 12:16

modyfikacja: 27.09.2026, 12:16

Ocena CVSS

2.3

Niski · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Gdy aplikacja umożliwia sprawdzanie unieważnień zarówno OCSP, jak i list CRL na jednym WOLFSSL_CTX lub menedżerze certyfikatów, wolfSSL pomija sprawdzanie listy CRL dla każdego certyfikatu równorzędnego, który nie zawiera adresu URL OCSP dostępu do informacji o uprawnieniach i akceptuje certyfikat na załadowanej liście CRL jako unieważniony. Polityka miękkiego niepowodzenia w przypadku brakującego obiektu odpowiadającego zwija wynik OCSP do sukcesu, zanim kod zdecyduje, czy rezerwowa lista CRL jest nadal potrzebna, więc „nie istnieje żaden odpowiadający” staje się nie do odróżnienia od „odpowiadający odpowiedział dobrze”. Kompilacje, których to dotyczy, definiują zarówno HAVE_OCSP, jak i HAVE_CRL: --enable-ocsp --enable-crl bezpośrednio i pośrednio --enable-all, --enable-distro, --enable-curl, --enable-nginx, --enable-haproxy, --enable-stunnel, --enable-lighty, --enable-wpas, --enable-strongswan, --enable-mosquitto, --enable-jni, --enable-openvpn i --enable-krb. Aplikacja ma wpływ tylko wtedy, gdy wywołuje zarówno wolfSSL_CTX_EnableOCSP() (lub wolfSSL_EnableOCSP() / wolfSSL_CertManagerEnableOCSP()), jak i wolfSSL_CTX_EnableCRL() (lub odpowiedniki) z załadowaną listą CRL; nie ma to wpływu na aplikację korzystającą wyłącznie ze zszywania OCSP za pomocą funkcji wolfSSL_CTX_EnableOCSPStapling(), ponieważ powoduje to utworzenie oddzielnej instancji OCSP. Wada tkwi w ProcessPeerCerts() i jest osiągalna poprzez TLS 1.0 do TLS 1.3 i DTLS, zarówno na kliencie weryfikującym certyfikat serwera, jak i na serwerze weryfikującym certyfikat klienta w ramach uwierzytelniania wzajemnego lub po uzgadnianiu. Kiedy pominięty test przypada na certyfikat łańcucha, a nie na liść, niesprawdzony produkt pośredni zostaje awansowany do menedżera certyfikatów i pozostaje zaufanym podpisującym dla każdego późniejszego połączenia w tym kontekście, zatem długotrwały proces, którego dotyczy problem, wymaga usunięcia WOLFSSL_CTX, a nie tylko wymiany biblioteki. Dotyczy to wszystkich wersji wolfSSL od 5.9.2 i wcześniejszych; w wersjach 5.9.1 i 5.9.2 konfiguracja WOLFSSL_OCSP_CHECKALL nie zostaje zamknięta za pomocą OCSP_NEED_URL, co pozostawia funkcję wolfSSL_CTX_EnableOCSP() bez CHECKALL jako ujawnioną konfigurację w wersji 5.9.2.

When an application enables both OCSP and CRL revocation checking on one WOLFSSL_CTX or certificate manager, wolfSSL skips the CRL check for any peer certificate that carries no Authority Information Access OCSP URL, and accepts a certificate the loaded CRL lists as revoked. The soft-fail policy for a missing responder collapses the OCSP result onto success before the code decides whether the CRL fallback is still needed, so "no responder exists" becomes indistinguishable from "the responder answered good". Affected builds define both HAVE_OCSP and HAVE_CRL: --enable-ocsp --enable-crl directly, and implicitly --enable-all, --enable-distro, --enable-curl, --enable-nginx, --enable-haproxy, --enable-stunnel, --enable-lighty, --enable-wpas, --enable-strongswan, --enable-mosquitto, --enable-jni, --enable-openvpn and --enable-krb. An application is affected only if it calls both wolfSSL_CTX_EnableOCSP() (or wolfSSL_EnableOCSP() / wolfSSL_CertManagerEnableOCSP()) and wolfSSL_CTX_EnableCRL() (or the equivalents) with a CRL loaded; an application that uses OCSP stapling alone through wolfSSL_CTX_EnableOCSPStapling() is not affected, because that sets up a separate OCSP instance. The defect sits in ProcessPeerCerts() and is reachable over TLS 1.0 through TLS 1.3 and DTLS, both on a client verifying a server certificate and on a server verifying a client certificate under mutual or post-handshake authentication. When the skipped check falls on a chain certificate rather than the leaf, the unchecked intermediate is promoted into the certificate manager and stays a trusted signer for every later connection on that context, so an affected long-running process needs its WOLFSSL_CTX torn down and not only its library replaced. All wolfSSL versions from 5.9.2 and earlier are affected; on versions 5.9.1 and 5.9.2 the WOLFSSL_OCSP_CHECKALL configuration fails closed with OCSP_NEED_URL, which leaves wolfSSL_CTX_EnableOCSP() without CHECKALL as the exposed configuration on 5.9.2.

>_ Słabości (CWE)

CWE-299

>_ Referencje

https://github.com/wolfSSL/wolfssl/pull/11500

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve