CVE-2026-73252
Təsvir
Mongoose daxili veb server və şəbəkə kitabxanasıdır. 7.23 versiyasından əvvəl, src/tls_builtin.c faylında MG_TLS_BUILTIN tərəfindən seçilən daxili TLS stekində şifrəsi açılmış ölçüsü düz 16 baytlıq autentifikasiya teqi olan, lakin açıq mətn və ya ContentType baytı olmayan TLS 1.3 yazısı qəbul edilir. mg_tls_recv_record() funksiyasında msgsz uzunluq yoxlaması həmin yazıya icazə verir və recv_len hesablaması SIZE_MAX dəyərinə qədər azalır (underflow), nəticədə sonrakı əl sıxma (handshake) mərhələsi köhnəlmiş bufer məzmununu faktiki olaraq məhdudiyyətsiz uzunluğa malik etibarlı mesaj kimi qəbul edir. Autentifikasiya olunmamış zərərli TLS tərəfi sertifikat və ya Finished təsdiqləməsindən əvvəl yığnaqdan kənar oxuma (heap out-of-bounds read) prosesini tetikləyərək uzaqdan xidmətdən imtinaya səbəb ola bilər. Bu problem 7.23 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cesanta mongoose | < 7.23 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.