CVE-2024-45159
Təsvir
Mbed TLS 3.x-in 3.6.1-dən əvvəlki versiyalarında problem aşkar edilib. TLS 1.3 ilə, server müştərinin opsional autentifikasiyasını aktivləşdirdikdə, əgər müştərinin təqdim etdiyi sertifikatda keyUsage və ya extKeyUsage genişlənmələrində uyğun dəyərlər yoxdursa, onda mbedtls_ssl_get_verify_result() funksiyasının qaytardığı dəyərdə MBEDTLS_X509_BADCERT_KEY_USAGE və MBEDTLS_X509_BADCERT_KEY_USAGE bitləri səhvən silinmiş olardı. Nəticədə, TLS müştəri autentifikasiyasından başqa istifadələr üçün etibarlı sertifikata sahib olan hücumçu ondan yenə də TLS müştəri autentifikasiyası üçün istifadə edə bilərdi. Yalnız TLS 1.3 serverləri təsirlənmişdi və yalnız opsional autentifikasiya ilə (tələb olunan autentifikasiya ilə handshake fatal xəbərdarlıqla dayandırılardı).
Necə düzəltmək olar
- trustedfirmware mbed_tls3.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| trustedfirmware mbed_tls | 3.2.0 ≤ v < 3.6.1 | 3.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.