CVE-2026-94417

Bir uygulama tek bir WOLFSSL_CTX veya sertifika yöneticisi üzerinde hem OCSP hem de CRL iptal kontrolünü etkinleştirdiğinde, wolfSSL, Authority Information Access OCSP URL'si taşımayan herhangi bir eş sertifikası için CRL kontrolünü atlar ve yüklü CRL'nin iptal edildiğini belirttiği bir sertifikayı kabul eder. Eksik bir yanıtlayıcı için uygulanan yumuşak hata (soft-fail) politikası, kodun CRL yedeklemesine hala ihtiyaç duyup duymadığına karar vermeden önce OCSP sonucunu başarıya dönüştürür; böylece "yanıtlayıcı mevcut değil" durumu ile "yanıtlayıcının iyi şeklinde cevap vermesi" birbirinden ayırt edilemez hale gelir. Etkilenen derlemeler hem HAVE_OCSP hem de HAVE_CRL tanımlar: doğrudan --enable-ocsp --enable-crl ve dolaylı olarak --enable-all, --enable-distro, --enable-curl, --enable-nginx, --enable-haproxy, --enable-stunnel, --enable-lighty, --enable-wpas, --enable-strongswan, --enable-mosquitto, --enable-jni, --enable-openvpn ve --enable-krb seçenekleri. Bir uygulama yalnızca hem wolfSSL_CTX_EnableOCSP() (veya wolfSSL_EnableOCSP() / wolfSSL_CertManagerEnableOCSP()) hem de wolfSSL_CTX_EnableCRL() (veya benzerleri) fonksiyonlarını yüklü bir CRL ile çağırdığında etkilenir; yalnızca wolfSSL_CTX_EnableOCSPStapling() aracılığıyla OCSP stapling kullanan bir uygulama, bu işlem ayrı bir OCSP örneği oluşturduğu için etkilenmez. Kusur ProcessPeerCerts() içerisindedir ve TLS 1.0'dan TLS 1.3'e kadar olan sürümler ile DTLS üzerinden, hem sunucu sertifikasını doğrulayan bir istemcide hem de karşılıklı veya el sıkışma sonrası kimlik doğrulamada istemci sertifikasını doğrulayan bir sunucuda erişilebilirdir. Atlanan kontrol yaprak sertifika yerine zincir sertifikasına denk geldiğinde, kontrol edilmeyen ara sertifika sertifika yöneticisine yükseltilir ve o bağlamdaki her sonraki bağlantı için güvenilir bir imzalayıcı olarak kalır; bu nedenle etkilenen uzun süreli çalışan bir işlemin sadece kütüphanesinin değiştirilmesi yetmez, WOLFSSL_CTX yapısının da yeniden kurulması gerekir. 5.9.2 ve önceki tüm wolfSSL sürümleri etkilenmektedir; 5.9.1 ve 5.9.2 sürümlerinde WOLFSSL_OCSP_CHECKALL yapılandırması OCSP_NEED_URL ile kapalı şekilde başarısız olur, bu da 5.9.2 sürümünde CHECKALL olmadan wolfSSL_CTX_EnableOCSP() fonksiyonunun açıkta kalan yapılandırma olmasını sağlar.