CVE-2024-45159
Açıklama
Mbed TLS 3.x'in 3.6.1 öncesindeki sürümlerinde bir sorun keşfedilmiştir. TLS 1.3 ile, bir sunucu istemcinin isteğe bağlı kimlik doğrulamasını etkinleştirdiğinde, istemci tarafından sağlanan sertifika keyUsage veya extKeyUsage uzantılarında uygun değerlere sahip değilse, mbedtls_ssl_get_verify_result() fonksiyonunun dönüş değerindeki MBEDTLS_X509_BADCERT_KEY_USAGE ve MBEDTLS_X509_BADCERT_KEY_USAGE bitleri hatalı bir şekilde temizlenmiş olurdu. Sonuç olarak, TLS istemci kimlik doğrulaması dışındaki kullanımlar için geçerli bir sertifikaya sahip olan bir saldırgan, yine de bu sertifikayı TLS istemci kimlik doğrulaması için kullanabilirdi. Yalnızca TLS 1.3 sunucuları etkilenmiştir ve bu durum yalnızca isteğe bağlı kimlik doğrulama ile gerçekleşmektedir (zorunlu kimlik doğrulama durumunda el sıkışma işlemi kritik bir uyarı ile sonlandırılırdı).
Nasıl düzeltilir
- trustedfirmware mbed_tls3.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| trustedfirmware mbed_tls | 3.2.0 ≤ v < 3.6.1 | 3.6.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.