CVE-2026-33308

Mod_gnutls, GnuTLS əsasında qurulmuş Apache HTTPD üçün TLS moduludur. Versiya 0.13.0-dan əvvəl, klient sertifikatının yoxlanılması kodu Extended Key Usage genişlənməsində təyin edilmiş açar məqsədini (key purpose) yoxlamırdı. TLS klient autentifikasiyası üçün etibarlı olan bir CA tərəfindən verilmiş, lakin fərqli məqsəd üçün nəzərdə tutulmuş etibarlı sertifikatın gizli açarına çıxışı olan hücumçu, həmin sertifikatdan istifadə edərək TLS klient autentifikasiyası tələb edən resurslara qeyri-qanuni şəkildə daxil ola bilərdi. Klient sertifikatlarından istifadə etməyən server konfiqurasiyaları (`GnuTLSClientVerify ignore`, standart seçim) bu problemdən təsirlənmir. Problem versiya 0.13.0-da sertifikat yoxlanılmasının `gnutls_certificate_verify_peers()` funksiyasından istifadə edərək yenidən yazılması və Extended Key Usage genişlənməsi mövcud olduqda, standart olaraq id-kp-clientAuth (GnuTLS-də həmçinin `tls_www_client` kimi tanınır) açar məqsədinin tələb edilməsi ilə həll edilmişdir. Yeni `GnuTLSClientKeyPurpose` seçimi ehtiyac olduqda gözlənilən açar məqsədini dəyişməyə imkan verir (ətraflı məlumat üçün zəhmət olmasa təlimata baxın). Extended Key Usage genişlənməsi olmayan sertifikatlar üçün davranış dəyişməyib. Əgər yalnız TLS klient sertifikatlarının buraxılması üçün xüsusi (alt-)CA-lardan istifadə olunursa (başqa heç bir məqsəd üçün yox), problemin praktiki təsiri yoxdur.