CVE-2026-6094: wolfSSL: leitura fora dos limites no heap ao analisar PKCS7 EnvelopedData

Visão geral

A CVE-2026-6094 afeta o wolfSSL e é descrita como uma leitura de buffer no heap além dos limites em wc_PKCS7_DecodeEnvelopedData, a rotina que faz o parsing de PKCS7 EnvelopedData. O CNA classifica a falha como CWE-125 (Out-of-bounds Read). O registro foi publicado em 2026-06-25 pelo CNA facts@wolfssl.com, e a página de vulnerabilidades do fabricante consta como aviso do fornecedor.

Impacto

A descrição confirmada é de leitura fora dos limites no heap em um caminho de parsing PKCS7.
O registro afirma que a falha poderia, em tese, ser acionada por dados controlados por um atacante entregues via S/MIME ou CMS.
O vetor CVSS 3.1 publicado pela NVD é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H, com pontuação base 9.1. O vetor indica alcance pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, além de alto impacto em confidencialidade e disponibilidade.
O CNA informa pontuação 6.3 pelo CVSS 4.0. Como as pontuações vêm de versões e provedores diferentes, elas não devem ser combinadas.
Se a leitura fora dos limites causa vazamento de informação, travamento ou outros efeitos em um ambiente específico é uma inferência, pois o registro não descreve isso.

Produtos e versões afetadas

Produto: Wolfssl Wolfssl (wolfSSL)
Intervalo afetado registrado: a partir de 5.8.0, até antes de 5.9.2.
O registro não lista outras ramificações ou distribuições afetadas.

Status de exploração

O registro não indica inclusão no catálogo KEV. Nenhuma exploração confirmada ou ativa aparece nas fontes consultadas para esta análise. Dados de EPSS e SSVC não constam no registro.

Correção e mitigação

A seção de correções do registro aponta para um patch no repositório do wolfSSL no GitHub, pull request 10128.
O registro não informa uma versão corrigida explícita. Como o intervalo afetado termina antes de 5.9.2, uma versão em 5.9.2 ou superior fica fora desse intervalo, o que é uma inferência que deve ser confirmada no aviso do fornecedor.
Faça o inventário de usos do wolfSSL em produtos e ferramentas internas, priorizando sistemas no intervalo registrado que aceitem S/MIME ou CMS de fontes não confiáveis.
Quando a atualização não for imediata, restrinja quais origens externas podem enviar dados a serviços que processam estruturas PKCS7 ou CMS, como medida defensiva.

Orientação de detecção

Identifique hosts e artefatos que incorporam o wolfSSL e compare as versões com o intervalo registrado.
Revise relatórios de falhas e reinicializações de serviços que decodificam mensagens S/MIME ou CMS, pois falhas de segurança de memória podem aparecer dessa forma.
Registre e gere alertas para falhas repetidas de decodificação vindas de entradas não confiáveis.
O registro não descreve indicadores de tentativas de exploração; estas sugestões são práticas defensivas gerais.

Limitações das informações disponíveis

O registro não traz detalhes sobre a estrutura exata da entrada, as condições para alcançar a leitura ou os dados que poderiam ser expostos.
Não há dados de EPSS, SSVC ou KEV no registro.
O campo de título estava vazio no registro de origem; o título usado aqui foi derivado da descrição.
A versão corrigida explícita não é informada no registro.

Perguntas frequentes

O que é a CVE-2026-6094?

É uma leitura de buffer no heap além dos limites na rotina wc_PKCS7_DecodeEnvelopedData do wolfSSL, acionada ao processar PKCS7 EnvelopedData malformado.

Quais versões do wolfSSL são afetadas?

O registro indica o intervalo de 5.8.0 até antes de 5.9.2.

Esta vulnerabilidade é explorada atualmente?

O registro não a inclui no catálogo KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.

Existe correção disponível?

O registro aponta um patch no repositório do wolfSSL no GitHub, pull request 10128, mas não informa uma versão corrigida explícita.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.