Leitura OOB (out-of-bounds) na heap do wolfSSL em streaming PKCS7 SignedData

A vulnerabilidade CVE-2026-5392 no wolfSSL representa um risco de leitura fora dos limites da pilha (heap out-of-bounds read) durante a análise de mensagens PKCS7. Um atacante pode criar uma mensagem PKCS7 especialmente elaborada para explorar esta falha, permitindo-lhe ler dados sensíveis da memória do servidor. Isso pode resultar na divulgação de informações confidenciais, como chaves privadas, senhas ou outros dados sensíveis processados pela aplicação que utiliza o wolfSSL. A ausência de uma verificação adequada dos limites no loop de verificação de conteúdo indefinido dentro da função PKCS7_VerifySignedData() é a causa raiz desta vulnerabilidade. A severidade deste problema depende do contexto da aplicação e da sensibilidade dos dados que estão sendo processados.

Applications and devices that rely on wolfSSL for secure communication, particularly those handling sensitive data like financial transactions or personal information, are at risk. Embedded systems and IoT devices using older, unpatched versions of wolfSSL are especially vulnerable due to the difficulty of updating software on these platforms.

• c - Compile wolfSSL with debugging symbols and use memory analysis tools (e.g., Valgrind) to detect out-of-bounds reads during PKCS7 parsing. • c - Instrument the PKCS7_VerifySignedData() function with logging to track memory access patterns and identify potential out-of-bounds reads. • c - Monitor application crash logs for errors related to memory access violations or heap corruption, particularly when handling PKCS7 messages.

1. 2026-04-09Disclosure

   Public Disclosure

1. Reservado2026-04-01
2. Publicada2026-04-09
3. Modificada2026-04-10
4. EPSS atualizado2026-04-17

A mitigação principal para CVE-2026-5392 é atualizar para a versão 5.9.1 do wolfSSL ou posterior. Esta versão inclui a correção necessária para evitar a leitura fora dos limites da pilha. Se a atualização imediata não for possível, recomenda-se implementar medidas de segurança adicionais, como a validação estrita das mensagens PKCS7 recebidas e a limitação da quantidade de memória alocada para o processamento dessas mensagens. É crucial realizar testes exaustivos após a atualização para garantir que a correção tenha sido aplicada corretamente e que não tenha introduzido novos problemas. A monitorização contínua do sistema também é importante para detetar qualquer atividade suspeita.