CVE-2026-93302

MatchTrustedPeer kullanılan genel anahtarı yoksaymakta, bu da sahte CA klonlarının doğrulamayı geçmesine yol açmaktadır. Etkilenen sürümler, WOLFSSL_TRUST_PEER_CERT makrosunu etkinleştiren ve CA sertifikalarını wolfSSL_CTX_trust_peer_cert() veya wolfSSL_trust_peer_cert() ile yükleyen tüm sürümlerdir. Sorundan yararlanabilmek için karşı tarafın, bu API'lerden herhangi biriyle yüklenen sertifikaları bilmesi gerekir. OPENSSL_COMPATIBLE_DEFAULTS ayrıca tanımlandığında, etkilenen API kapsamı tüm CA sertifikası yüklemelerini içerecek şekilde genişler. Her iki makro da (nginx, haproxy, stunnel, wpas, apache httpd, hitch, bind, rsyslog, ffmpeg, all, distro) gibi autoconf derlemeleri kullanıldığında tanımlanır. Sertifika güvenilir bir eş sertifikası olarak listelendiğinde, sorun daha önce kötü niyetli bir (D)TLS sunucusunun, istemcinin hangi CA'ları kabul edeceğini bildiği takdirde kimlik doğrulamasını atlamasına izin veriyordu. Bu durum, istemcinin sunucunun hangi CA'ları yüklediğini bildiği karşılıklı kimlik doğrulama durumlarını da etkilemektedir. Bu konfigürasyonlardan herhangi biriyle derleme yapan ve yüklü CA'ların bilinebileceği ve karşı tarafın kimlik doğrulamasının istendiği (D)TLS kullanan kullanıcılar, sorunu gidermek için şunlardan birini yapmalıdır: en güncel wolfSSL sürümüne güncelleme yapmak, düzeltme yamasını uygulamak veya --disable-openssl-compatible-defaults yapılandırma bayrağını kullanıp CA'ları wolfSSL_CTX_trust_peer_cert() veya wolfSSL_trust_peer_cert() ile yüklememek.