Oxia: La validation de la chaîne de certificat CA TLS échoue avec des bundles PEM multi-certificats

L'impact principal de cette vulnérabilité réside dans l'incapacité d'utiliser mTLS avec des chaînes de certificats standard (certificat intermédiaire + certificat racine). Les clients légitimes, disposant de certificats correctement chaînés, seront rejetés avec l'erreur x509: certificate signed by unknown authority. Cela dégrade significativement la posture de sécurité, rendant mTLS inutilisable dans ces configurations. Les systèmes qui dépendent de mTLS pour l'authentification et le chiffrement des communications sont particulièrement vulnérables. Une attaque réussie pourrait permettre à un attaquant de se faire passer pour un client légitime, contournant ainsi les mécanismes de sécurité mis en place.

Organizations deploying Oxia for mTLS authentication, particularly those using CA certificate bundles containing intermediate certificates, are at risk. This includes environments utilizing Oxia as a service gateway or within microservice architectures where mTLS is employed for secure communication between services.

• linux / server:

journalctl -u oxia | grep 'x509: certificate signed by unknown authority'

• generic web:

curl -I https://your-oxia-service.com  # Check for mTLS errors in the response headers

1. 2026-04-21Disclosure

   disclosure

1. Réservé2026-04-15
2. Publiée2026-04-21
3. Modifiée2026-04-22
4. EPSS mis à jour2026-04-29

La mitigation immédiate consiste à mettre à jour Oxia vers la version 0.16.2 ou supérieure, où le problème a été corrigé. Si la mise à jour n'est pas possible immédiatement, une solution de contournement temporaire pourrait consister à s'assurer que les fichiers de certificats CA ne contiennent qu'un seul certificat (par exemple, uniquement le certificat racine). Cependant, cette approche est déconseillée car elle réduit la robustesse de la validation des certificats. Il n'existe pas de règles WAF ou de signatures Sigma/YARA spécifiques à cette vulnérabilité, car elle est liée à une erreur de parsing interne à la bibliothèque.