PT-2026-42203 · Git · Tls
Ben Smyth
·
Publicado
2026-05-20
·
Atualizado
2026-06-15
·
CVE-2026-45389
CVSS v3.1
7.4
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
OCaml-TLS versões anteriores a 2.1.0
Description
A implementação do servidor não valida adequadamente as extensões
KeyUsage e ExtendedKeyUsage dos certificados fornecidos por clientes durante a autenticação TLS mútua (mTLS). Isso permite que um invasor se passe por um cliente usando um certificado que foi destinado apenas para autenticação de servidor (contendo id-kp-serverAuth). Especificamente, a biblioteca não verifica se o certificado inclui digitalSignature em seu keyUsage ou clientAuth em seu ExtendedKeyUsage.Detalhes técnicos indicam que o problema ocorre na função
validateCerts() em handshake server.ml e na função answerClientCertificate() em handshake server13.ml, onde o processo validateChain é concluído sem verificar essas restrições específicas. Isso pode levar ao acesso não autorizado se o servidor confiar em uma Autoridade Certificadora (CA) que emite certificados apenas para servidor, como uma CA corporativa interna ou um repositório de confiança PKI público.Recommendations
Atualize para a versão 2.1.0.
Como solução temporária, restrinja o repositório de confiança para incluir apenas CAs que separem estritamente certificados de cliente e servidor, ou implemente um controle de pós-validação baseado em Common Name (CN) ou Subject Alternative Name (SAN) para verificar a identidade do cliente autenticado.
Exploit
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Tls