CVE-2026-89102

Dans les versions 5.7.2 à 5.9.2 de wolfSSL, une faille d’implémentation côté client dans RFC 6961, l’agrafage de réponses OCSP multiples, peut entraîner une falsification de certificats. Lorsqu’un client wolfSSL active l’agrafage OCSP avec la fonctionnalité HAVE_CERTIFICATE_STATUS_REQUEST_V2 et appelle wolfSSL_UseOCSPStaplingV2(ssl, WOLFSSL_CSR2_OCSP_MULTI, options), le client accepte n’importe quel certificat de la chaîne du pair comme autorité de certification sans vérifier que le certificat est effectivement autorisé à exercer cette fonction. Cela signifie qu’un attaquant qui possède n’importe quel certificat rattaché à une AC approuvée par le client (ainsi que sa clé privée) peut falsifier des certificats pour des identités arbitraires qui seront acceptés comme valides par le client. Le certificat d’entité finale du serveur est stocké dans le magasin de confiance persistant, ce qui affecte les connexions ultérieures qui réutilisent le contexte, même lorsque l’utilisation d’OCSP multi n’est pas employée. Découvert lors des tests internes de wolfSSL.