CVE-2026-55962

Bir sunucunun, istemci tarafından Certificate ve CertificateVerify gönderilmeden Finished mesajını kabul edebildiği bir TLS 1.3 el sıkışma sonrası kimlik doğrulama (PHA) sorunu bulunmaktadır. Boş veya eksik eş sertifikasına izin veren post-handshake-auth istisnası yalnızca ilk el sıkışma için amaçlanmıştı, ancak bu durum el sıkışma sonrası bekleyen bir CertificateRequest varken de uygulanmaktaydı. Kontrol artık yalnızca ilk el sıkışma ile sınırlandırılmıştır: Sunucu tarafında, el sıkışma sonrası bir CertificateRequest gönderildiğinde (certReqCtx ayarlandığında), Finished mesajı kabul edilmeden önce yeniden bir eş sertifikası ve geçerli bir CertificateVerify gereklidir; boş sertifika yönetimi, tıpkı ilk el sıkışma istemci kimlik doğrulamasında olduğu gibi yapılandırılan doğrulama moduna (FAIL_IF_NO_PEER_CERT) göre işler. Bu durum yalnızca el sıkışma sonrası kimlik doğrulama desteğiyle (WOLFSSL_POST_HANDSHAKE_AUTH / --enable-postauth, --enable-all kapsamındadır) derlenen, WOLFSSL_VERIFY_POST_HANDSHAKE özelliğini etkinleştiren ve wolfSSL_request_certificate() aracılığıyla el sıkışmadan sonra istemci sertifikası talep eden TLS 1.3 sunucularını etkiler. İstemciler ve el sıkışma sonrası kimlik doğrulama kullanmayan sunucular etkilenmemektedir.