CVE-2026-93302

Nome do Software Vulnerável e Versões Afetadas wolfSSL (versões afetadas não especificadas)

Descrição A função MatchTrustedPeer ignora a chave pública utilizada, permitindo que clones de CA forjados passem na verificação. Este problema ocorre em compilações onde a macro WOLFSSL TRUST PEER CERT está habilitada e certificados de CA são carregados usando as funções wolfSSL CTX trust peer cert() ou wolfSSL trust peer cert(). Se a macro OPENSSL COMPATIBLE DEFAULTS também estiver definida, o problema se estende a todo o carregamento de certificados de CA. Esta configuração é comum em compilações autoconf usadas por softwares como nginx, haproxy, stunnel, wpas, apache httpd, hitch, bind, rsyslog e ffmpeg. Um servidor (D)TLS malicioso pode ignorar a autenticação se souber quais CAs o cliente aceita, e o problema afeta similarmente cenários de autenticação mútua onde o cliente conhece as CAs carregadas pelo servidor.

Recomendações Atualize para a versão mais recente do wolfSSL. Aplique o patch de correção. Use a flag de configuração --disable-openssl-compatible-defaults e evite carregar CAs com wolfSSL CTX trust peer cert() ou wolfSSL trust peer cert().