CVE-2026-7531: wolfSSL: use-after-free no tratamento de key share híbrido PQC no TLS 1.3

Visão geral

A CVE-2026-7531 é uma fragilidade de use-after-free (CWE-416) na forma como o wolfSSL trata key shares híbridos de criptografia pós-quântica (PQC) durante a negociação do TLS 1.3. Segundo o registro, trata-se de um acompanhamento de correção incompleta da CVE-2026-5460, que foi lançada na versão 5.9.1 do wolfSSL. O registro atribui o relato ao CNA facts@wolfssl.com.

Impacto

O registro afirma que um servidor TLS 1.3 malicioso que envie um PQC hybrid KeyShare truncado ainda pode levar o caminho de limpeza de erro a operar sobre memória já liberada.
A NVD lista pontuação base CVSS 3.1 de 9,8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
O CNA informou uma pontuação CVSS 4.0 separada, de 2,3. O registro não explica a diferença entre as duas pontuações.
As consequências além da condição de segurança de memória descrita no registro não estão detalhadas nas fontes consultadas.

Produtos e versões afetados

Produto listado como Wolfssl Wolfssl.
Intervalo listado: da versão 5.8.0 em diante e anterior à 5.9.2.
Versões fora desse intervalo não aparecem como afetadas no registro. O registro não traz números de versão corrigida além da fronteira do intervalo.

Status de exploração

A entrada no catálogo KEV da CISA está marcada como não listada, então este registro não confirma exploração ativa.
Não há pontuação EPSS nem decisão SSVC no registro.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Correção e mitigação

Revise a página de vulnerabilidades de segurança do wolfSSL e o pull request referenciado para identificar a correção e a versão que a contém.
Planeje a atualização das instalações do wolfSSL no intervalo listado, priorizando sistemas em que o TLS 1.3 com troca de chaves híbrida PQC esteja habilitado e que se conectem a servidores não confiáveis.
Como o registro descreve um acompanhamento de correção anterior, confirme que a versão instalada inclui tanto a correção da CVE-2026-5460 quanto a da CVE-2026-7531, e não apenas a versão anterior.
Recompile e reimplante aplicações que incorporam o wolfSSL estaticamente após a atualização.

Orientações de detecção

Faça um inventário dos sistemas e produtos embarcados ou de appliances que incluem o wolfSSL e registre as versões exatas.
Monitore processos clientes TLS quanto a travamentos inesperados ou falhas de segurança de memória durante handshakes com servidores externos, e revise os logs nesses momentos.
Quando possível, restrinja conexões TLS de saída de serviços sensíveis a endpoints conhecidos, reduzindo a exposição a servidores não confiáveis.

Limitações das informações disponíveis

O registro não descreve as condições exatas necessárias para alcançar o caminho vulnerável, como quais opções de build ou configurações habilitam os key shares híbridos PQC.
O registro não fornece o número exato da versão corrigida, apenas o limite superior do intervalo afetado e uma referência de correção.
O motivo da pontuação CVSS 4.0 de 2,3 não é informado.
O texto completo do aviso do fornecedor não foi incluído no registro, portanto detalhes além do resumo são desconhecidos.

Perguntas frequentes

Que tipo de vulnerabilidade é a CVE-2026-7531?

É um use-after-free (CWE-416) no tratamento de key shares híbridos PQC durante o TLS 1.3 no wolfSSL. O registro diz que o caminho de limpeza de erro pode operar sobre memória já liberada.

Quais versões do wolfSSL aparecem como afetadas?

O registro lista as versões 5.8.0 ou posteriores e anteriores à 5.9.2. Ele também informa que a CVE-2026-5460 foi lançada na 5.9.1 e que a CVE-2026-7531 é um acompanhamento de correção incompleta.

Há exploração conhecida desta vulnerabilidade?

A entrada no catálogo KEV da CISA está marcada como não listada, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.