CVE-2026-5501: X509 प्रमाणन सत्यापन भेद्यता wolfSSL में

यह भेद्यता हमलावरों को किसी भी विषय नाम के लिए प्रमाणपत्र जाली करने की अनुमति देती है, जिससे वे संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं या सिस्टम पर अनधिकृत कार्रवाई कर सकते हैं। हमलावर एक मुफ्त DV प्रमाणपत्र (जैसे Let's Encrypt से) प्राप्त करके और फिर एक दुर्भावनापूर्ण मध्यवर्ती प्रमाणपत्र प्रदान करके ऐसा कर सकते हैं। यह भेद्यता TLS हैंडशेक प्रक्रिया को बायपास करने और सर्वर को एक जाली प्रमाणपत्र को स्वीकार करने के लिए मजबूर करने की अनुमति देती है। इस भेद्यता का उपयोग मैन-इन-द-मिडिल हमलों को अंजाम देने, डेटा को इंटरसेप्ट करने और संशोधित करने, या सिस्टम को पूरी तरह से नियंत्रित करने के लिए किया जा सकता है। यह भेद्यता Log4Shell जैसी अन्य प्रमाणन सत्यापन भेद्यताओं के समान शोषण पैटर्न का उपयोग कर सकती है।

Systems utilizing wolfSSL versions 0.0.0 through 5.9.0 are at risk, particularly those relying on the OpenSSL compatibility layer for certificate validation. This includes applications and services that handle sensitive data over TLS, such as web servers, API gateways, and VPN servers. Shared hosting environments using vulnerable wolfSSL versions are also at increased risk due to the potential for cross-tenant attacks.

• nginx: Examine Nginx error logs for unusual certificate validation failures or errors related to certificate chain construction. Use nginx -t to validate configuration after any changes.

grep -i "certificate validation failed" /var/log/nginx/error.log

• generic web: Monitor web server access logs for connections using certificates with unexpected or suspicious subject names. Use curl to test certificate validation.

curl -v https://your-website.com --dump-header - | grep Subject:

• database (mysql, redis, mongodb, postgresql): While the vulnerability is in wolfSSL, if your database uses wolfSSL for TLS, monitor database connection logs for unusual certificate fingerprints or validation errors. This is less direct but can indicate a compromised connection. • linux / server: Monitor system logs for unusual TLS connection attempts or errors related to certificate validation. Use journalctl to filter for relevant events.

journalctl -u nginx -g "certificate validation failed"

1. 2026-04-10Disclosure

   disclosure

2. 2026-04-10Patch

   patch

1. आरक्षित2026-04-03
2. प्रकाशित2026-04-10
3. संशोधित2026-04-22
4. EPSS अद्यतन2026-04-17

CVE-2026-5501 को कम करने के लिए, wolfSSL को संस्करण 5.11.0 या बाद के संस्करण में अपग्रेड करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके दुर्भावनापूर्ण मध्यवर्ती प्रमाणपत्रों को ब्लॉक किया जा सकता है। WAF नियमों को उन प्रमाणपत्रों की पहचान करने के लिए कॉन्फ़िगर किया जाना चाहिए जिनमें CA:FALSE बेसिक कंस्ट्रेंट हैं। इसके अतिरिक्त, प्रमाणन सत्यापन प्रक्रिया को मजबूत करने के लिए कॉन्फ़िगरेशन परिवर्तन किए जा सकते हैं, जैसे कि केवल विश्वसनीय रूट प्रमाणपत्रों का उपयोग करना। अपग्रेड के बाद, यह सत्यापित करें कि प्रमाणन सत्यापन प्रक्रिया ठीक से काम कर रही है और कोई त्रुटि नहीं है।