CVE-2026-73251 in Mongoose
Résumé
par VulDB • 20/08/2026
Mongoose est un serveur web embarqué et une bibliothèque réseau. Avant la version 7.23, un attaquant réseau peut usurper l'identité d'un serveur TLS auprès d'un client Mongoose configuré avec un bundle CA multi-certificats. Dans src/tls_builtin.c, la fonction mg_tls_init() stocke le bundle dans tls->ca_bundle_der tandis que tls->ca_der.len reste à zéro, et mg_tls_recv_cert() utilise tls_bundle_find() pour accepter une correspondance de Common Name sans appeler mg_tls_verify_cert_signature(). Un certificat auto-signé falsifié peut donc satisfaire les vérifications du nom d'hôte et des CertificateVerify, permettant ainsi l'interception, la divulgation d'identifiants, la modification du trafic et l'injection de réponses malveillantes. Ce problème est corrigé dans la version 7.23.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.