JVNDB-2026-036451

wolfSSL Inc.のwolfSSLにおける証明書検証に関する脆弱性

MatchTrustedPeerは使用される公開鍵を無視するため、偽造されたCAクローンが検証を通過してしまいます。影響を受けるビルドは、マクロWOLFSSL_TRUST_PEER_CERTを有効にし、wolfSSL_CTX_trust_peer_cert()またはwolfSSL_trust_peer_cert()でCA証明書を読み込むすべてのものです。この問題を利用するには、ピアがこれらのAPIのいずれかに読み込まれる証明書を知っている必要があります。さらに、OPENSSL_COMPATIBLE_DEFAULTSも定義されている場合、影響範囲はすべてのCA証明書の読み込みに拡大します。これら両方のマクロは、nginx、haproxy、stunnel、wpas、apache httpd、hitch、bind、rsyslog、ffmpegなどのautoconfビルド（およびすべてのディストリビューション）を使用する際に定義されます。証明書が信頼されたピア証明書としてリストされている場合、この問題によりクライアントが受け入れるCAを知っていれば、悪意のある(D)TLSサーバが認証を回避できてしまいます。また、サーバが読み込んだCAをクライアントが知っている相互認証のケースにも影響を与えます。これらの構成でビルドし、かつロードされたCAが既知でピアの認証を行いたい(D)TLSを使用しているユーザーは、最新のwolfSSLバージョンにアップデートするか、修正パッチを適用するか、または--disable-openssl-compatible-defaultsのconfigureフラグを使用し、wolfSSL_CTX_trust_peer_cert()やwolfSSL_trust_peer_cert()でCAを読み込まないようにすることで問題を緩和してください。

wolfSSL Inc.

• wolfSSL 5.3.0 から 5.9.2

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 不正な証明書検証(CWE-295) [その他]

1. CVE-2026-93302

1. National Vulnerability Database (NVD) : CVE-2026-93302
2. 関連文書 : Fix trusted peer cert matching to verify full certificate, not just n…  wolfSSL/wolfssl@22bcd51  GitHub

• [2026年10月05日]
    掲載