CVE-2020-36477
Açıklama
Mbed TLS 2.24.0 öncesi sürümlerde bir sorun keşfedilmiştir. Beklenen ortak adın (mbedtls_x509_crt_verify fonksiyonunun cn parametresi), gerçek sertifika adı ile eşleştirilmesi sırasında X.509 sertifikalarının doğrulanması hatalı yönetilmektedir: subjectAltName uzantısı mevcut olduğunda, beklenen ad, türüne bakılmaksızın bu uzantıdaki herhangi bir adla karşılaştırılır. Bu durum, bir saldırganın ilgili IPv4 veya IPv6 adresi için bir sertifika alarak (bu, saldırganın söz konusu IP adresini kontrol etmesini gerektirir), 4 baytlık veya 16 baytlık bir alanı taklit edebileceği anlamına gelir.
Nasıl düzeltilir
- arm mbed_tls2.24.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| arm mbed_tls | v < 2.24.0 | 2.24.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.