Botan में TLS 1.3 प्रमाणपत्र प्रमाणीकरण बाईपास है

Botan क्रिप्टोग्राफी लाइब्रेरी में CVE-2026-34582 TLS 1.3 कार्यान्वयन को प्रभावित करता है। संस्करण 3.11.1 से पहले, कार्यान्वयन गलत तरीके से 'Finished' संदेश प्राप्त होने से पहले ApplicationData रिकॉर्ड को संसाधित करने की अनुमति देता था। यह एक दुर्भावनापूर्ण क्लाइंट को 'Certificate', 'CertificateVerify' और 'Finished' संदेशों को छोड़ कर और सीधे ApplicationData रिकॉर्ड भेजकर प्रमाणपत्र-आधारित क्लाइंट प्रमाणीकरण को बायपास करने की अनुमति देता है। इससे सेवा से इनकार हमलों या, अधिक जटिल परिदृश्यों में, डेटा रिसाव हो सकता है यदि सर्वर ApplicationData को गलत तरीके से संसाधित करता है।

Systems utilizing Botan 3.11.0 and 3.11.0 for TLS 1.3 client authentication are at risk. This includes applications and services relying on Botan for secure communication, particularly those handling sensitive data or requiring strong authentication mechanisms. Shared hosting environments using vulnerable Botan versions are also at increased risk.

• cpp / library: Examine Botan library logs for unexpected TLS 1.3 message sequences.

// Example: Check for ApplicationData records before Finished
if (recordType == APPLICATION_DATA && previousRecordType != FINISHED) {
  // Potential exploitation attempt
  logWarning("ApplicationData record received before Finished message");
}

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-07
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-15

इस भेद्यता को ठीक करने का तरीका Botan लाइब्रेरी को संस्करण 3.11.1 या बाद के संस्करण में अपग्रेड करना है। यह संस्करण TLS 1.3 संदेशों के अनुचित हैंडलिंग को ठीक करता है, यह सुनिश्चित करता है कि 'Finished' संदेश प्राप्त और सत्यापित होने के बाद ही ApplicationData को संसाधित किया जाता है। Botan का उपयोग करने वाले डेवलपर्स को शोषण के जोखिम को कम करने के लिए जल्द से जल्द अपने अनुप्रयोगों को अपडेट करने की दृढ़ता से सलाह दी जाती है। इसके अतिरिक्त, क्लाइंट प्रमाणीकरण को सुरक्षित और मजबूत तरीके से लागू किया गया है यह सुनिश्चित करने के लिए सर्वर कॉन्फ़िगरेशन की समीक्षा करें, यहां तक ​​कि अप्रत्याशित व्यवहार के मामले में भी।