CVE-2026-42013
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W bibliotece GnuTLS wykryto podatność polegającą na tym, że podczas walidacji certyfikatów zbyt długa nazwa alternatywna podmiotu (SAN) może spowodować nieprawidłowe cofnięcie się do sprawdzania pola Nazwa pospolita (CN). Pozwala to zdalnemu atakującemu ominąć poprawną walidację certyfikatu, co może prowadzić do ataków typu podszywanie się (spoofing) lub man-in-the-middle.
Ocena ryzyka
Organizacja narażona jest na ryzyko przejęcia komunikacji przez atakującego, który może podszyć się pod zaufany serwer, co może skutkować kradzieżą danych lub naruszeniem integralności połączeń TLS.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę GnuTLS do wersji zawierającej poprawkę oraz przejrzeć konfigurację walidacji certyfikatów w aplikacjach korzystających z tej biblioteki.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in gnutls. When validating certificates, an oversized Subject Alternative Name (SAN) could cause the validation process to incorrectly fall back to checking the Common Name (CN) field. This could allow a remote attacker to bypass proper certificate validation, potentially leading to spoofing or man-in-the-middle attacks.