CVE-2026-34582 是 Botan 密码库中的一个安全漏洞，该库是用 C++ 编写的。该漏洞允许攻击者绕过客户端认证机制，从而可能导致未经授权的访问。该问题存在于 Botan 3.11.0 之前的版本中，由于 TLS 1.3 实现中的缺陷，允许在接收到 Finished 消息之前处理 ApplicationData 记录。 Botan 3.11.1 版本已经修复了此问题。
Botan密码库中的CVE-2026-34582影响TLS 1.3的实现。在版本3.11.1之前，实现错误地允许在收到“Finished”消息之前处理ApplicationData记录。这使得恶意客户端可以通过省略“Certificate”、“CertificateVerify”和“Finished”消息，直接发送ApplicationData记录来绕过基于证书的客户端身份验证。这可能导致拒绝服务攻击，或者在更复杂的场景中，如果服务器错误处理ApplicationData，则可能导致数据泄露。
攻击者可以通过在未完成TLS 1.3握手的情况下，将ApplicationData流直接发送到易受攻击的Botan服务器来利用此漏洞。这使得攻击者可以绕过客户端身份验证，从而可能导致严重的安全性后果。利用的可能性取决于服务器配置和传输数据的敏感性。缺少有效的“Finished”消息表示通信不完整，应由服务器检测并拒绝。
Systems utilizing Botan 3.11.0 and 3.11.0 for TLS 1.3 client authentication are at risk. This includes applications and services relying on Botan for secure communication, particularly those handling sensitive data or requiring strong authentication mechanisms. Shared hosting environments using vulnerable Botan versions are also at increased risk.
• cpp / library: Examine Botan library logs for unexpected TLS 1.3 message sequences.
// Example: Check for ApplicationData records before Finished
if (recordType == APPLICATION_DATA && previousRecordType != FINISHED) {
// Potential exploitation attempt
logWarning("ApplicationData record received before Finished message");
}disclosure
漏洞利用状态
EPSS
0.03% (10% 百分位)
CISA SSVC
此漏洞的修复方法是将Botan库升级到版本3.11.1或更高版本。此版本更正了TLS 1.3消息的处理不当，确保仅在收到并验证“Finished”消息后才处理ApplicationData。强烈建议Botan用户尽快更新其应用程序，以降低被利用的风险。此外，请审查服务器配置，以确保客户端身份验证以安全且强大的方式实施，即使在出现意外行为时也是如此。
Actualice la biblioteca Botan a la versión 3.11.1 o superior para mitigar la vulnerabilidad. Esta actualización corrige el problema al asegurar que el mensaje Finished se reciba antes de procesar los registros de datos de la aplicación, evitando así la posibilidad de una autenticación de certificado del cliente eludida.
漏洞分析和关键警报直接发送到您的邮箱。
Botan是一个开源的C++密码库，提供广泛的加密算法和协议。
检查您的应用程序中使用的Botan库的版本。如果您使用的是3.11.1之前的版本，则会受到影响。
如果您无法立即更新，请考虑实施额外的安全措施，例如加强服务器身份验证和监控网络流量以查找可疑模式。
目前没有专门的工具可以检测此漏洞。但是，静态代码分析工具和渗透测试可以帮助识别使用易受攻击的Botan版本。
被破坏的数据将取决于使用Botan的应用程序。它可能包括密码、个人数据或财务信息等敏感信息。