CVE-2026-5194: Vulnerabilidad ECDSA en wolfSSL 3.12.0–5.9.1

Un atacante podría aprovechar esta vulnerabilidad para realizar ataques de suplantación de identidad (man-in-the-middle) en sistemas que utilizan la autenticación basada en certificados ECDSA. Al presentar un certificado con un digest más pequeño, el atacante podría eludir la verificación de la firma y hacerse pasar por una entidad legítima. Esto podría permitir el acceso no autorizado a datos confidenciales o la ejecución de código malicioso. El riesgo se agrava si la clave pública de la CA utilizada para firmar los certificados es también accesible al atacante, ya que esto facilitaría la creación de certificados fraudulentos.

Systems relying on wolfSSL for ECDSA certificate-based authentication are at risk, particularly those using a single, widely-distributed CA key. Embedded devices, IoT devices, and applications that perform certificate pinning are especially vulnerable if they use affected versions of wolfSSL.

• linux / server: Examine wolfSSL library logs for errors related to digest size validation during certificate verification. Use journalctl -u wolfssl to filter for relevant log entries. • c: Review wolfSSL source code (specifically the ECDSA verification functions) for instances where digest sizes are not properly validated. Use a code analysis tool to identify potential vulnerabilities. • generic web: If wolfSSL is used in a web server's TLS implementation, monitor for unusual certificate chain validation errors in the web server's access and error logs.

1. 2026-04-09Disclosure

   disclosure

1. Reservado2026-03-30
2. Publicada2026-04-09
3. Modificada2026-04-22
4. EPSS actualizado2026-04-17

La mitigación principal para CVE-2026-5194 es actualizar a la versión 5.9.1 de wolfSSL o superior, donde se ha corregido la vulnerabilidad. Si la actualización inmediata no es posible, se recomienda revisar la configuración de la biblioteca wolfSSL para asegurar que se estén utilizando algoritmos de hash seguros y que se estén aplicando las restricciones de tamaño de hash adecuadas. Además, se debe monitorear el tráfico de red en busca de certificados ECDSA con digests inusualmente pequeños. Una vez aplicada la actualización, verificar la correcta implementación del parche mediante pruebas de validación de certificados ECDSA.