CVE-2026-75805

Problemzusammenfassung: Ein CMP-Client, der den Widerruf eines Zertifikats auf Grundlage einer PKCS#10-CSR anfordert, kann beim Verarbeiten einer speziell präparierten Widerrufsantwort einen NULL-Zeiger dereferenzieren und abnormal beendet werden. Auswirkungszusammenfassung: Die Dereferenzierung des NULL-Zeigers erfolgt bei einem Lesezugriff, was zu einem Absturz und einem Denial-of-Service der betroffenen Clientanwendung führt. CWE: CWE-476: Dereferenzierung eines NULL-Zeigers Beschreibung: Ein CMP-Client, der ein Zertifikat widerruft, muss dem Server mitteilen, welches Zertifikat widerrufen werden soll, und kann dazu eine PKCS#10-CSR statt des Zertifikats selbst oder seines Ausstellernamens und seiner Seriennummer bereitstellen. Dies ist in der Befehlszeile 'openssl cmp -cmd rr -csr <file>' oder über die API OSSL_CMP_exec_RR_ses() mit dem über OSSL_CMP_CTX_set1_p10CSR() bereitgestellten Zertifikat. Eine CSR enthält nicht den Ausstellernamen und die Seriennummer des Zertifikats, daher sendet der Client diese nicht. Ein Server kann in seiner Antwort optional das von ihm widerrufene Zertifikat benennen, woraufhin der Client diesen Namen mit dem vergleicht, was er gesendet hat. Da er weder einen Ausstellernamen noch eine Seriennummer gesendet hat, hat er nichts, womit er ihn vergleichen kann, und ein Server, der einen speziell präparierten Namen zurückgibt, veranlasst den Client, von einem NULL-Zeiger zu lesen und abzustürzen. Die Widerrufsantwort wird auf gültigen Nachrichtenschutz geprüft, bevor der betroffene Code erreicht wird. Ein Angreifer muss daher ein böswilliger oder kompromittierter CMP-Server oder ein Man-in-the-Middle sein, der im Besitz des für den Nachrichtenschutz verwendeten Geheimnisses ist. Clients, die das zu widerrufende Zertifikat anhand eines Zertifikats oder anhand von Aussteller und Seriennummer statt anhand einer PKCS#10-CSR identifizieren, sind nicht betroffen. FIPS-Auswirkung: nein Dieses Problem betrifft keine FIPS-Module, da sich die CMP-Protokollimplementierung außerhalb der Grenze des OpenSSL-FIPS-Moduls befindet.