CVE-2026-75805

Résumé du problème : Un client CMP qui demande la révocation d’un certificat sur la base d’une CSR PKCS#10 peut déréférencer un pointeur NULL et se terminer de manière anormale lors du traitement d’une réponse de révocation spécialement conçue. Résumé de l’impact : Le déréférencement du pointeur NULL se produit lors d’une lecture, ce qui provoque un crash et un déni de service pour l’application cliente concernée. CWE : CWE-476 : déréférencement de pointeur NULL Description : Un client CMP qui révoque un certificat doit indiquer au serveur quel certificat révoquer, et peut le faire en fournissant une CSR PKCS#10 au lieu du certificat lui-même ou de son nom d’émetteur et de son numéro de série. Il s’agit de « openssl cmp -cmd rr -csr <file> » sur la ligne de commande, ou de OSSL_CMP_exec_RR_ses() avec le certificat fourni via OSSL_CMP_CTX_set1_p10CSR() par l’intermédiaire de l’API. Une CSR ne contient ni le nom de l’émetteur ni le numéro de série du certificat ; le client ne les envoie donc pas. Un serveur peut éventuellement indiquer dans sa réponse le certificat qu’il a révoqué, et le client compare alors ce nom à celui qu’il a envoyé. N’ayant envoyé ni nom d’émetteur ni numéro de série, il n’a rien à comparer, et un serveur qui renvoie un nom spécialement conçu amène le client à lire à partir d’un pointeur NULL et à planter. La protection valide du message de la réponse de révocation est vérifiée avant que le code concerné ne soit atteint ; un attaquant doit donc être un serveur CMP malveillant ou compromis, ou un attaquant de type homme du milieu disposant du secret utilisé pour la protection des messages. Les clients qui identifient le certificat à révoquer au moyen d’un certificat ou du nom de l’émetteur et du numéro de série, plutôt qu’au moyen d’une CSR PKCS#10, ne sont pas concernés. Impact FIPS : non Aucun module FIPS n’est concerné par ce problème, car l’implémentation du protocole CMP se situe en dehors du périmètre du module FIPS d’OpenSSL.