CVE-2026-93302

MatchTrustedPeer istifadə olunan açıq açarı nəzərə almır, bu da saxtalaşdırılmış CA klonlarının verifikasiyadan keçməsinə səbəb olur. Təsirə məruz qalan versiyalar WOLFSSL_TRUST_PEER_CERT makrosunu aktivləşdirən və CA sertifikatlarını wolfSSL_CTX_trust_peer_cert() və ya wolfSSL_trust_peer_cert() ilə yükləyən bütün versiyalardır. Bu problemdən yararlanmaq üçün qarşı tərəf həmin API-lərdən hər hansı birinə yüklənən sertifikatları bilməlidir. OPENSSL_COMPATIBLE_DEFAULTS həmçinin təyin edildikdə, təsirə məruz qalan API bütün CA sertifikatlarının yüklənməsini əhatə etmək üçün genişlənir. Hər iki makro (nginx, haproxy, stunnel, wpas, apache httpd, hitch, bind, rsyslog, ffmpeg, all, distro) kimi autoconf build-lərindən istifadə edildikdə təyin olunur. Sertifikat etibarlı peer sertifikatı kimi qeyd edildikdə, bu problem zərərli (D)TLS serverinə müştərinin hansı CA-ları qəbul edəcəyini bildiyi təqdirdə autentifikasiyadan yan keçməyə imkan verirdi. Bu, həmçinin müştərinin serverin hansı CA-ları yüklədiyini bildiyi qarşılıqlı autentifikasiya hallarına da təsir göstərir. Əgər bu konfiqurasiyalardan hər hansı biri ilə build edilirsinizsə və yüklənmiş CA-ların bilinə biləcəyi və peer-in autentifikasiyasının tələb olunduğu (D)TLS istifadə edirsinizsə, istifadəçilər problemi aradan qaldırmaq üçün ya ən son wolfSSL versiyasına yeniləməli, ya düzəliş yamasını (patch) tətbiq etməli, yaxud --disable-openssl-compatible-defaults konfiqurasiya bayrağından istifadə etməli və CA-ları wolfSSL_CTX_trust_peer_cert() və ya wolfSSL_trust_peer_cert() ilə yükləməməlidirlər.