CVE-2015-7826

Nieprawidłowa walidacja wildcard w certyfikatach X.509 w Botan

CVSS 9.8v3.0pub. 2017-04-10upd. 2026-05-13

Biblioteka kryptograficzna Botan w wersjach 1.11.x przed 1.11.22 błędnie obsługuje dopasowywanie znaków wieloznacznych (wildcard) w nazwach hostów podczas weryfikacji certyfikatów X.509. Podatność może pozwolić zdalnemu atakującemu na obejście weryfikacji tożsamości serwera przy użyciu prawidłowego certyfikatu.

▸ Pokaż oryginał (EN)

botan 1.11.x before 1.11.22 improperly handles wildcard matching against hostnames, which might allow remote attackers to have unspecified impact via a valid X.509 certificate, as demonstrated by accepting *.example.com as a match for bar.foo.example.com.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej implementacji logiki dopasowywania wzorców wildcard w procesie walidacji certyfikatów X.509 (CWE-295 — nieprawidłowa weryfikacja certyfikatu). Biblioteka akceptuje certyfikat wystawiony dla domeny wieloznacznej, np. *.example.com, jako prawidłowy dla adresu bar.foo.example.com, mimo że zgodnie ze standardami wildcard powinien obejmować wyłącznie jeden poziom hierarchii DNS. Atakujący posiadający prawidłowy certyfikat dla poddomeny wieloznacznej może dzięki temu podszyć się pod inne hosty w ramach domeny nadrzędnej.

Skutki

Atakujący może przeprowadzić atak typu man-in-the-middle, skutecznie podszywając się pod zaufany serwer przy użyciu legalnie wystawionego certyfikatu wildcard, co prowadzi do potencjalnego naruszenia poufności, integralności i dostępności komunikacji.

Mitygacja

Należy zaktualizować bibliotekę Botan do wersji 1.11.22 lub nowszej. Szczegółowe informacje dostępne są w oficjalnym biuletynie bezpieczeństwa producenta pod adresem https://botan.randombit.net/security.html