CVE-2026-73260
Təsvir
Mongoose daxili veb server və şəbəkə kitabxanasıdır. 7.23 versiyasından əvvəl, MG_TLS_BUILTIN tərəfindən seçilən daxili TLS sertifikat analizçisi uzun formalı DER elementi uzunluğunun qalan sertifikat buferinə sığdığını yoxlamaqda uğursuz olur. mg_der_to_tlv() və mg_der_next() funksiyalarında qarşı tərəf tərəfindən idarə olunan uzunluq analizçini sertifikatın hüdudlarından kənara çıxara və qalan uint32_t uzunluğunun azalmasına (underflow) səbəb ola bilər ki, bu da mg_tls_parse_cert_der() funksiyasının etibarsız göstəricini izləməyə davam etməsinə gətirib çıxarır. Autentifikasiya olunmamış zərərli TLS serveri və ya klient sertifikatları üçün konfiqurasiya edilmiş serverə sertifikat təqdim edən klient, əl sıxma (handshake) zamanı hüdudlardan kənar oxuma (out-of-bounds read) və xidmətdən imtina hallarını tetikləyə bilər. Bu problem 7.23 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cesanta mongoose | < 7.23 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.