CVE-2026-75805

Resumen del problema: Un cliente CMP que solicita la revocación de un certificado basándose en una CSR PKCS#10 puede desreferenciar un puntero NULL y terminar de forma anómala al procesar una respuesta de revocación manipulada. Resumen del impacto: La desreferencia del puntero NULL ocurre durante una lectura, lo que provoca un fallo y una denegación de servicio para la aplicación cliente afectada. CWE: CWE-476: desreferencia de puntero NULL Descripción: Un cliente CMP que revoca un certificado tiene que indicar al servidor qué certificado debe revocar, y puede hacerlo proporcionando una CSR PKCS#10 en lugar del propio certificado o del nombre de su emisor y número de serie. Esto es 'openssl cmp -cmd rr -csr <file>' en la línea de comandos, o OSSL_CMP_exec_RR_ses() con el certificado proporcionado mediante OSSL_CMP_CTX_set1_p10CSR() a través de la API. Una CSR no contiene el nombre del emisor ni el número de serie del certificado, por lo que el cliente no los envía. Un servidor puede indicar opcionalmente en su respuesta el certificado que revocó, y el cliente compara entonces ese nombre con el que envió. Como no ha enviado ni un nombre de emisor ni un número de serie, no tiene nada con lo que compararlo, y si un servidor devuelve un nombre especialmente manipulado, el cliente lee desde un puntero NULL y se bloquea. La respuesta de revocación se comprueba para verificar que la protección del mensaje es válida antes de que se alcance el código afectado, por lo que el atacante debe ser un servidor CMP malicioso o comprometido, o un atacante en posición de intermediario que posea el secreto usado para la protección del mensaje. Los clientes que identifican el certificado que se va a revocar mediante un certificado o mediante el emisor y el número de serie, en lugar de mediante una CSR PKCS#10, no se ven afectados. Impacto en FIPS: no Ningún módulo FIPS se ve afectado por este problema, ya que la implementación del protocolo CMP está fuera del límite del módulo FIPS de OpenSSL.