CVE-2026-67693: уязвимость в GnuTLS 3.8.13 раскрывает данные из-за противоречивых X.509-сертификатов

В библиотеке GnuTLS, широко применяемой для реализации TLS и проверки сертификатов в Linux-системах и прикладном ПО, выявлена уязвимость, связанная с недостаточно строгой валидацией X.509-сертификатов. Проблеме присвоен идентификатор CVE-2026-67693.

Подробности

Уязвимость затрагивает GnuTLS версии 3.8.13. Суть проблемы — библиотека не отклоняет конечные (end-entity) X.509-сертификаты, содержащие противоречивую комбинацию расширений Key Usage (KU) и Extended Key Usage (EKU). Подобные сертификаты формально не должны приниматься при проверке цепочки доверия, поскольку назначение ключа в них описано взаимоисключающим образом.

Эксплуатация позволяет атакующему получить конфиденциальную информацию: некорректно принятый сертификат может быть использован для обхода ожидаемой логики проверки и доступа к данным, которые должны были оставаться защищёнными. Точная оценка по CVSS в записи CVE не приводится, как и сведения о конкретных версиях затронутых продуктов (в записи указано «n/a»). Характер уязвимости — раскрытие информации (information disclosure) через ошибку валидации сертификатов.

Что делать

Основная рекомендация — обновить GnuTLS до версии, в которой устранена ошибка проверки KU/EKU, и проследить, чтобы обновлённая библиотека использовалась всеми приложениями и сервисами на хосте (в ряде дистрибутивов требуется перезапуск зависимых служб).

Если немедленное обновление невозможно, следует рассмотреть компенсирующие меры:

• усилить контроль за цепочками доверия и составом доверенных CA, ограничив источники сертификатов;
• внедрить на уровне приложений или прокси дополнительную проверку согласованности расширений KU и EKU принимаемых сертификатов;
• организовать мониторинг и журналирование аномалий при TLS-рукопожатиях, чтобы выявлять попытки предъявления некорректных сертификатов;
• ограничить сетевой доступ к сервисам, использующим GnuTLS, до необходимого минимума.

Также рекомендуется отслеживать обновления бюллетеней безопасности дистрибутивов: исправление может поставляться как патч к пакету gnutls.

Уязвимость CVE-2026-67693 напоминает о том, что корректная проверка расширений сертификатов — критичный элемент доверия в TLS. Противоречивые KU/EKU не должны приниматься ни при каких обстоятельствах, поэтому организациям, использующим GnuTLS 3.8.13, следует приоритизировать обновление и проверить конфигурацию проверки сертификатов.

Источник: CVE Project (cvelistV5)