CVE-2026-73260

Mongoose, gömülü bir web sunucusu ve ağ kütüphanesidir. 7.23 sürümünden önce, MG_TLS_BUILTIN tarafından seçilen yerleşik TLS sertifika ayrıştırıcısı, uzun formlu bir DER öğe uzunluğunun kalan sertifika tamponuna sığıp sığmadığını doğrulamada başarısız olur. mg_der_to_tlv() ve mg_der_next() fonksiyonlarında, karşı taraf tarafından kontrol edilen bir uzunluk, ayrıştırıcıyı sertifikanın ötesine geçirebilir ve kalan uint32_t uzunluğunun altına düşmesine (underflow) neden olarak mg_tls_parse_cert_der()'in geçersiz bir işaretçiyi takip etmeye devam etmesine yol açabilir. Kimliği doğrulanmamış kötü niyetli bir TLS sunucusu veya istemci sertifikaları için yapılandırılmış bir sunucuya sertifika sunan bir istemci, el sıkışma sırasında sınır dışı okuma (out-of-bounds read) ve hizmet reddi tetikleyebilir. Bu sorun 7.23 sürümünde düzeltilmiştir.