Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当应用程序在一个WOLFSSL_CTX或证书管理器上同时启用 OCSP 和 CRL 吊销检查时，wolfSSL 会跳过对任何不携带颁发机构信息访问 OCSP URL 的对等证书的 CRL 检查，并接受加载的 CRL 列出的证书已吊销。在代码确定是否仍需要 CRL 回退之前，缺少响应器的软失败策略会将 OCSP 结果折叠为成功，因此不存在响应程序与回答良好的响应程序无法区分。受影响的版本同时定义HAVE_OCSP和HAVE_CRL：--enable-ocsp --enable-crl直接定义和隐--enable-all式定义 、 、 --enable-lighty--enable-curl--enable-nginx--enable-haproxy--enable-stunnel--enable-distro
    --enable-wpas、 --enable-strongswan、 --enable-mosquitto、 --enable-jni和 --enable-openvpn--enable-krb。
    仅当应用程序同时调用加载了 CRL 的 wolfSSL_CTX_EnableOCSP（） （或 wolfSSL_EnableOCSP（） / wolfSSL_CertManagerEnableOCSP（）） 和 wolfSSL_CTX_EnableCRL（） （或等效项）时，应用程序才会受到影响;通过 wolfSSL_CTX_EnableOCSPStapling（） 单独使用 OCSP 封套的应用程序不受影响，因为会设置单独的 OCSP 实例。该缺陷位于 ProcessPeerCerts（） 中，无论是在验证服务器证书的客户端上，还是在验证客户端证书的服务器上（在相互或后握手认证下验证客户端证书的服务器上），均可 1.0 通过 TLS 1.3 和 DTLS 对其进行访问。当跳过的检查落在链式证书而不是叶上时，未经检查的中间证书被提升为证书管理器，并且对该上下文中每个后续连接保持受信任的签名者，因此需要拆散其WOLFSSL_CTX，而不仅仅是替换其库。所有 wolfSSL 版本 5.9.2 和较早版本都受到影响;在版本 5.9.1 和 5.9.2 WOLFSSL_OCSP_CHECKALL 配置无法通过 OCSP_NEED_URL 关闭时，这会使 wolfSSL_CTX_EnableOCSP（） 上暴露的配置不含 CHECKALL 成为 上暴露 5.9.2的配置。（CVE-2026-94417）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-94417

low Nessus 插件 ID 350863

版本 1.1