CVE-2026-5503: Escrita fora de limites na wolfSSL em TLSX_EchChangeSNI (tratamento de SNI com ECH)
As versoes da wolfSSL ate a 5.9.0 inclusive contem uma escrita fora de limites em um caminho de codigo relacionado ao tratamento de SNI do Encrypted Client Hello, no qual dados controlados pelo atacante podem permanecer em um contexto compartilhado quando nenhum SNI interno esta configurado. A NVD classifica a falha como 9,1 (critica), e o registro nao lista exploracao confirmada nas fontes consultadas. Nenhuma versao corrigida aparece no registro, por isso administradores devem acompanhar o fornecedor e o pull request indicado.
Visao geral
O CVE-2026-5503 e uma escrita fora de limites classificada como CWE-787 na wolfSSL. De acordo com o registro, o caminho de codigo TLSX_EchChangeSNI pode deixar um publicName controlado pelo atacante em um contexto compartilhado quando nenhum SNI interno esta configurado, e a etapa de limpeza nao o remove, de modo que uma escrita posterior pode ultrapassar em 255 bytes o limite de uma alocacao.
Impacto
A pontuacao base da NVD e 9,1 (critica). O vetor listado descreve um ataque pela rede, sem necessidade de privilegios e sem interacao do usuario, com alto impacto na integridade e na disponibilidade e sem impacto na confidencialidade. A propria wolfSSL informa a pontuacao 6,9. O registro nao descreve consequencias alem dessas classificacoes, por isso o impacto pratico em um ambiente especifico e desconhecido.
Produtos e versoes afetadas
- Produto: wolfSSL Wolfssl
- Afetadas: ate a 5.9.0 inclusive
- Versoes corrigidas: nenhuma listada no registro
O registro inclui uma referencia de rastreamento de problemas, um pull request no repositorio da wolfSSL. Ele nao confirma quais versoes contem a alteracao.
Status de exploracao
O registro indica que este CVE nao consta no catalogo KEV da CISA. Nenhuma exploracao confirmada aparece nas fontes consultadas. O SSVC lista a exploracao como nenhuma e a automatizacao como sim. A probabilidade EPSS e 0,00452, com percentil de 0,3835.
Correcao e mitigacao
- Inventarie sistemas e produtos que incorporam a wolfSSL na versao 5.9.0 ou anterior.
- Acompanhe o fornecedor e o pull request indicado em busca de uma versao que contenha a alteracao. O registro nao identifica uma.
- Se o suporte a Encrypted Client Hello nao for necessario, verifique se ele esta habilitado na sua compilacao. Trata-se de uma inferencia baseada nos nomes de funcoes envolvidas.
- Limite a exposicao de endpoints TLS compilados com versoes afetadas ate que uma versao corrigida seja validada.
Orientacao para deteccao
- Monitore servicos TLS que usam a wolfSSL em busca de travamentos inesperados, erros de memoria ou encerramentos anormais, que podem acompanhar corrupcao de memoria.
- Revise os registros de handshake TLS em busca de nomes de servidor ou valores de extensao incomuns, quando sua plataforma os expuser.
Limitacoes das informacoes disponiveis
O registro nao lista versoes corrigidas, texto de aviso do fornecedor nem detalhes confirmados de exploracao. Nao se sabe se um ambiente especifico e alcancavel nas condicoes descritas.
Perguntas frequentes
Quais versoes da wolfSSL sao afetadas pelo CVE-2026-5503?
O registro lista as versoes da wolfSSL ate a 5.9.0 inclusive como afetadas. Nenhuma versao corrigida e listada.
O CVE-2026-5503 e conhecido por ser explorado na natureza?
O registro indica que ele nao consta no catalogo KEV da CISA, e nenhuma exploracao confirmada aparece nas fontes consultadas.
O que os administradores devem fazer agora?
Inventariar o uso da wolfSSL, acompanhar o fornecedor e o pull request indicado em busca de uma versao corrigida e limitar a exposicao dos endpoints TLS afetados ate que a correcao seja validada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.