Vulnerabilidades

wc_Blake2bHmacFinal y wc_Blake2sHmacFinal descartan el mensaje cuando la longitud de la clave supera el tamaño de bloque, lo que produce un MAC independiente de la entrada. Cuando la clave proporcionada es más larga que el tamaño de bloque de BLAKE2, la rama de hash de la clave reinicializaba el estado de hash en…

Omisión de las restricciones de nombre iPAddress cuando WOLFSSL_IP_ALT_NAME no está definido. Las restricciones de nombre de dirección IP no se aplican en esa configuración, lo que permite que un certificado eluda las restricciones de dirección IP de la CA emisora.

PKCS7_verify: confusión de firmante que permite firmas falsificadas, ya que el firmante asociado a una firma no queda correctamente vinculado, lo que permite aceptar una firma falsificada.

Falsificación de etiqueta HMAC de longitud cero en EVP_DigestVerifyFinal, donde una etiqueta de longitud cero podía aceptarse como válida durante la verificación HMAC. En la ruta de verificación HMAC de compatibilidad con OpenSSL, la longitud de la firma proporcionada solo se comprobaba para asegurar que no superaba…

La comparación de textos cifrados de ML-KEM con NEON de ARM64 solo compara la mitad de la entrada, lo que rompe el rechazo implícito de la transformación Fujisaki-Okamoto y debilita la seguridad IND-CCA2 en esa ruta de código. La comparación de tiempo constante ignoraba en la práctica parte del texto cifrado…

La verificación del MAC de PKCS#12 utiliza una longitud de comparación controlada por el atacante, lo que debilita la comprobación de integridad del MAC y permite que se acepte un MAC que no coincide. La ruta de verificación de PKCS#12 comparaba el HMAC calculado localmente con el MAC extraído de la estructura PKCS#12…

Escritura fuera de límites en SetSuitesHashSigAlgo al procesar una lista de algoritmos de firma de tamaño excesivo, lo que permite escribir más allá de los límites del búfer de destino.

Cuando se configura HAVE_ENCRYPT_THEN_MAC, la implementación podría recurrir a MAC-then-Encrypt en lugar de imponer Encrypt-then-MAC.

Problema de autenticación posterior al handshake (PHA) de TLS 1.3 por el que un servidor podía aceptar el mensaje Finished de un cliente sin que este hubiera enviado Certificate ni CertificateVerify. La excepción de autenticación posterior al handshake, que permite un certificado de par vacío o ausente, solo estaba…

Falta de vinculación de SNI/ALPN en la reanudación con estado (basada en ID de sesión), que anteriormente omitía la comprobación de vinculación realizada para la reanudación basada en tickets. Una sesión en caché podría reanudarse con un SNI/ALPN distinto del negociado originalmente y, en los casos en que la política…

Una confusión de longitud en el número de serie de un CertID de OCSP en wolfSSL_OCSP_resp_find_status permite que un SingleResponse del mismo emisor cuyo número de serie sea un prefijo del número de serie de destino se informe como el estado de revocación de un certificado distinto. La búsqueda comparaba los bytes del…

Elusión de restricciones de nombre X.509 mediante el nombre común del sujeto (Subject Common Name) cuando se trata como un nombre de tipo DNS. Podría aceptarse un certificado cuyo nombre común del sujeto (Subject CN) infrinja las restricciones de nombre DNS de una CA emisora.

La ruta de decodificación PKCS#7 ignora el tamaño del búfer de salida proporcionado por el llamador (outputSz), lo que permite escribir el contenido decodificado más allá de los límites del búfer suministrado. Esto afecta a wolfSSL 5.9.0 y versiones anteriores, y se corrigió en la versión 5.9.1.

Se podría producir un desbordamiento de búfer en el montículo (heap) en la ruta de serialización de los ACK de DTLS 1.3 antes de que el par que se conecta sea autenticado. El desbordamiento de búfer se debía a un truncamiento de enteros al calcular la longitud de la lista de números de registro de los ACK, lo que…

Subdesbordamiento de entero en wc_PKCS7_DecryptOri al procesar Other Recipient Info manipulada, lo que provoca un manejo incorrecto de la longitud durante el descifrado.

Existe una omisión de la extensión crítica de CRL en ParseCRL_Extensions, donde las extensiones críticas no se aplican correctamente, lo que permite que se acepte una CRL manipulada con una extensión crítica no gestionada. Esto solo afecta a las compilaciones con soporte de CRL habilitado y en las que una CRL…

Problemas de cumplimiento de la política de certificados y de la RFC 8446 relacionados con la aceptación continuada de SHA-1/MD5 en el procesamiento de certificados.

Uso de memoria tras su liberación (use-after-free) en el manejo de key-share híbridos de PQC. Se trata de un seguimiento de una corrección incompleta de CVE-2026-5460 (publicada en la versión 5.9.1): un servidor TLS 1.3 malicioso que envíe un KeyShare híbrido de PQC truncado todavía puede provocar que la ruta de…

Certificado intermedio de cadena con CA:TRUE sin keyCertSign aceptado como CA de firma. Los certificados de CA intermedia deben tener el uso de clave keyCertSign cuando está presente la extensión Key Usage, pero las CA temporales suministradas por la cadena (WOLFSSL_TEMP_CA), añadidas durante la construcción de una…

Una clave pública sin procesar (RFC 7250) no negociada se acepta en lugar de un certificado X.509, eludiendo la validación de la cadena. Una clave pública sin procesar no tiene cadena, por lo que ParseCertRelative() la acepta sin realizar ninguna verificación de confianza; por tanto, solo debe aceptarse cuando RPK se…

Escritura fuera de límites en el búfer de transcripción de TLS 1.3 de Renesas TSIP. En tsip_StoreMessage(), la comprobación de capacidad que protege el contenedor de mensajes de tamaño fijo (MSGBAG_SIZE) establece un código de error pero no retorna, de modo que la ejecución continúa hasta una llamada a XMEMCPY que…

Lectura fuera de límites en el montículo (heap) durante la verificación de la firma de certificados SM2/SM3. Al analizar un certificado con una firma SM3wSM2, el cálculo del identificador de clave de sujeto (Subject Key Identifier) lee los últimos 65 bytes de la clave pública sin comprobar que la clave tenga al menos…

Omisión de la cadena de confianza X.509 en el verificador de certificados de compatibilidad con OpenSSL (wolfSSL_X509_verify_cert()). Esto afecta únicamente a las compilaciones con --enable-opensslextra (OPENSSL_EXTRA) y cuya aplicación valida certificados llamando a X509_verify_cert() con certificados intermedios no…

Los certificados con SAN de DNS comodín (p. ej., *.example.com) eludían las comprobaciones de restricciones de nombre de la CA. Podía aceptarse un certificado con un SAN de DNS comodín que debía haber sido rechazado por las restricciones de nombres DNS permitidos/excluidos de la CA emisora.

La implementación en ensamblador de X25519 para x86_64 no consigue poner a cero el bit más significativo durante la reducción modular final, por lo que el resultado calculado puede no estar completamente reducido módulo el primo del cuerpo 2^255 - 19. Esto puede dejar el elemento del cuerpo en una forma no canónica,…