CVE-2026-11310

Nome do Software Vulnerável e Versões Afetadas wolfSSL (versões afetadas não especificadas)

Descrição Existe uma falha de bypass na cadeia de confiança X.509 na função de verificação de certificados de compatibilidade com OpenSSL wolfSSL X509 verify cert(). Este problema ocorre em compilações configuradas com --enable-opensslextra (OPENSSL EXTRA) em que as aplicações validam certificados utilizando X509 verify cert() com certificados intermediários não confiáveis fornecidos pelo chamador. A função carrega temporariamente esses intermediários não confiáveis no gerenciador de certificados, mas falha ao removê-los antes da verificação do armazenamento confiável, permitindo que um intermediário não confiável ancore o próprio caminho. Consequentemente, um invasor pode apresentar uma cadeia de certificados que não atinge uma âncora de confiança configurada e fazer com que ela seja aceita. Isso afeta a verificação de certificados independente de TLS, como S/MIME/CMS, assinatura de código/firmware e JWT/JWS x5c, independentemente do tipo de chave ou algoritmo utilizado. O uso nativo de TLS/DTLS do wolfSSL e o handshake TLS padrão (WOLFSSL VERIFY PEER) não são impactados; apenas aplicações TLS que realizam verificação de pares manual ou adiada e que também exigem --enable-sessioncerts são afetadas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, restrinja o uso da função wolfSSL X509 verify cert() ao processar certificados intermediários não confiáveis fornecidos pelo chamador em compilações que utilizam --enable-opensslextra.