یک نقص امنیتی در پیاده‌سازی کلاینت wolfSSL در نسخه‌های 5.7.2 تا 5.9.2 شناسایی شده است که می‌تواند منجر به جعل گواهینامه (Certificate Forgery) و در نهایت اجرای حملات Man-in-the-Middle (MITM) شود. این آسیب‌پذیری با شناسه CVE-2026-89102 و امتیاز 8.3 (High) ثبت شده است.
جزئیات فنی آسیب‌پذیری
این مشکل در پیاده‌سازی استاندارد RFC 6961 مربوط به Multiple OCSP Response Stapling رخ داده است. زمانی که یک کلاینت wolfSSL قابلیت HAVE_CERTIFICATE_STATUS_REQUEST_V2 را فعال کرده و تابع wolfSSL_UseOCSPStaplingV2 را با گزینه WOLFSSL_CSR2_OCSP_MULTI فراخوانی کند، کلاینت هر گواهینامه‌ای را در زنجیره Peer به عنوان یک Certificate Authority (CA) می‌پذیرد، بدون اینکه بررسی کند آیا آن گواهینامه واقعاً اجازه فعالیت به عنوان یک CA را دارد یا خیر.
سناریوی حمله و اثرات
یک عامل تهدید (Threat Actor) که دارای هرگونه گواهینامه معتبر (همراه با کلید خصوصی مربوطه) باشد که به یک CA مورد اعتماد کلاینت متصل است، می‌تواند گواهینامه‌های جعلی برای هر هویت دلخواهی ایجاد کند. کلاینت‌های آسیب‌پذیر این گواهینامه‌ها را به عنوان معتبر می‌پذیرند و این امر امکان جعل کامل ارتباطات TLS را فراهم می‌کند.
- تأثیر بر حافظه: گواهینامه نهایی سرور در Persistent Trust Store ذخیره می‌شود. این یعنی حتی اگر در اتصالات بعدی از قابلیت Multi-stapling استفاده نشود، اثرات حمله به دلیل استفاده مجدد از
WOLFSSL_CTXباقی می‌ماند. - شرایط بهره‌برداری: این نقص تنها در پیکربندی‌های غیرپیش‌فرض (Non-default) که صراحتاً قابلیت ذکر شده را فعال کرده‌اند، قابل فعال‌سازی است.
توصیه‌های امنیتی و رفع مشکل
به مدیران SOC و مهندسین امنیت توصیه می‌شود اقدامات زیر را در سریع‌ترین زمان ممکن اجرا کنند:
- شناسایی: بررسی تمامی استقرار‌های کلاینت wolfSSL در نسخه‌های 5.7.2 تا 5.9.2 که با پرچم
HAVE_CERTIFICATE_STATUS_REQUEST_V2کامپایل شده‌اند. - اصلاح: غیرفعال کردن Multiple OCSP Stapling مطابق RFC 6961 یا بازسازی (Rebuild) کلاینت‌ها بدون این پرچم.
- پاکسازی: پاکسازی یا چرخش (Rotate) Persistent Trust Store در تمامی
WOLFSSL_CTXهای مشترکی که احتمال می‌رود گواهینامه‌های جعلی را پذیرفته باشند.
