]> git.ipfire.org Git - thirdparty/haproxy.git/commit
BUG/MEDIUM: ssl: bad auth selection with TLS1.2 and WolfSSL
authorWilliam Lallemand <wlallemand@haproxy.com>
Fri, 7 Jun 2024 13:47:15 +0000 (15:47 +0200)
committerWilliam Lallemand <wlallemand@haproxy.com>
Fri, 7 Jun 2024 13:47:15 +0000 (15:47 +0200)
commit711338e1ceb061db0a5c832acdea8edbeafa712f
tree20925a9cc304261dfa6bb5f0a41ea2331d08ce4c
parent93cc23a35561cd89b353143d20962dd86aa82a9c
BUG/MEDIUM: ssl: bad auth selection with TLS1.2 and WolfSSL

The ClientHello callback for WolfSSL introduced in haproxy 2.9, seems
not to behave correctly with TLSv1.2.

In TLSv1.2, this is the cipher that is used to chose the authentication algorithm
(ECDSA or RSA), however an SSL client can send a signature algorithm.

In TLSv1.3, the authentication is not part of the ciphersuites, and
is selected using the signature algorithm.

The mistake in the code is that the signature algorithm in TLSv1.2 are
overwritting the auth that was selected using the ciphers.

This must be backported as far as 2.9.
src/ssl_sock.c