CVE-2026-93302

MatchTrustedPeer ignore la clé publique utilisée, ce qui permet à des clones d’AC falsifiés de passer la vérification. Les compilations concernées sont celles qui activent la macro WOLFSSL_TRUST_PEER_CERT et chargent des certificats d’AC avec wolfSSL_CTX_trust_peer_cert() ou wolfSSL_trust_peer_cert(). Le pair doit connaître les certificats chargés par l’une de ces API pour tirer parti du problème. Lorsque OPENSSL_COMPATIBLE_DEFAULTS est également défini, l’API concernée est étendue à tous les chargements de certificats d’AC. Les deux macros sont définies lors de l’utilisation de compilations autoconf telles que (nginx, haproxy, stunnel, wpas, apache httpd, hitch, bind, rsyslog, ffmpeg, all, distro). Lorsque le certificat est répertorié comme certificat de pair de confiance, le problème permettait auparavant à un serveur (D)TLS malveillant de contourner l’authentification dès lors qu’il savait quelles AC le client accepterait. Cela concerne également les cas d’authentification mutuelle où le client sait quelles AC le serveur a chargées. Si vous compilez avec l’une de ces configurations et utilisez (D)TLS, lorsque les AC chargées peuvent être connues et qu’une authentification du pair est souhaitée, les utilisateurs doivent soit : effectuer la mise à jour vers la dernière version de wolfSSL, appliquer le correctif, ou utiliser l’option de configuration --disable-openssl-compatible-defaults et ne pas charger d’AC avec wolfSSL_CTX_trust_peer_cert() ou wolfSSL_trust_peer_cert() afin d’atténuer le problème.