CVE-2026-55962

Nome do Software Vulnerável e Versões Afetadas wolfSSL (versões afetadas não especificadas)

Descrição Existe um problema de autenticação pós-handshake (PHA) no TLS 1.3 onde um servidor pode aceitar a mensagem Finished de um cliente mesmo que o cliente não tenha enviado um Certificate e um CertificateVerify. Isso ocorre porque uma isenção que permite certificados de pares vazios ou ausentes, destinada apenas ao handshake inicial, estava sendo aplicada incorretamente enquanto um CertificateRequest pós-handshake estava pendente. Isso afeta servidores TLS 1.3 compilados com suporte a autenticação pós-handshake (WOLFSSL POST HANDSHAKE AUTH ou --enable-postauth), que habilitam WOLFSSL VERIFY POST HANDSHAKE e utilizam a função wolfSSL request certificate() para solicitar um certificado de cliente após o handshake. Clientes e servidores que não utilizam autenticação pós-handshake não são afetados.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.