CVE-2026-55962

TLS 1.3 post-handshake authentication (PHA) problemi ilə bağlı olaraq, server klient tərəfindən Certificate və CertificateVerify göndərilmədən Finished mesajını qəbul edə bilirdi. Boş və ya mövcud olmayan peer sertifikatına icazə verən post-handshake-auth istisnası yalnız ilkin əl sıxma (initial handshake) üçün nəzərdə tutulmuşdu, lakin bu, həmçinin post-handshake CertificateRequest gözlənilərkən də tətbiq olunurdu. Yoxlama artıq yalnız ilkin əl sıxma ilə məhdudlaşdırılıb: serverdə post-handshake CertificateRequest göndərildikdən sonra (certReqCtx təyin edildikdə), Finished mesajı qəbul edilməzdən əvvəl yenidən peer sertifikatı və etibarlı CertificateVerify tələb olunur; boş sertifikatın idarə edilməsi isə ilk əl sıxma zamanı klient autentifikasiyasında olduğu kimi konfiqurasiya edilmiş yoxlama rejiminə (FAIL_IF_NO_PEER_CERT) uyğun həyata keçirilir. Bu problem yalnız post-handshake authentication dəstəyi ilə (WOLFSSL_POST_HANDSHAKE_AUTH / --enable-postauth, --enable-all daxilindədir) qurulmuş, WOLFSSL_VERIFY_POST_HANDSHAKE aktivləşdirilmiş və əl sıxmadan sonra wolfSSL_request_certificate() vasitəsilə klient sertifikatı tələb edən TLS 1.3 serverlərinə təsir edir. Klientlər və post-handshake authentication istifadə etməyən serverlər bundan təsirlənmir.