CVE-2021-37155

wolfSSL: brak weryfikacji numeru seryjnego w odpowiedzi OCSP

CVSS 9.8v3.1pub. 2021-07-21upd. 2024-11-21

wolfSSL w wersjach 4.6.x–4.7.x przed 4.8.0 nie zgłasza błędu, gdy numer seryjny certyfikatu w żądaniu OCSP różni się od numeru seryjnego w odpowiedzi OCSP. Podatność umożliwia obejście mechanizmu weryfikacji odwołania certyfikatów, co może prowadzić do akceptacji nieważnych lub odwołanych certyfikatów.

▸ Pokaż oryginał (EN)

wolfSSL 4.6.x through 4.7.x before 4.8.0 does not produce a failure outcome when the serial number in an OCSP request differs from the serial number in the OCSP response.

🤖 Analiza AI

Jak działa

Protokół OCSP (Online Certificate Status Protocol) służy do sprawdzania, czy dany certyfikat nie został odwołany. Biblioteka wolfSSL nieprawidłowo obsługuje odpowiedź OCSP — nie weryfikuje, czy numer seryjny certyfikatu zawarty w odpowiedzi odpowiada numerowi seryjnemu z wysłanego żądania. Atakujący może dostarczyć odpowiedź OCSP dotyczącą innego certyfikatu (np. ważnego), przez co biblioteka błędnie uzna weryfikowany certyfikat za prawidłowy, nawet jeśli jest on odwołany.

Skutki

Atakujący może skutecznie ominąć weryfikację odwołania certyfikatów TLS, co umożliwia przeprowadzenie ataku man-in-the-middle przy użyciu odwołanego certyfikatu oraz potencjalnie przejęcie kontroli nad bezpieczną komunikacją (naruszenie poufności, integralności i dostępności).

Mitygacja

Należy zaktualizować bibliotekę wolfSSL do wersji 4.8.0 lub nowszej. Poprawka została wprowadzona w wydaniu v4.8.0-stable dostępnym w oficjalnym repozytorium producenta na GitHub.