CVE-2022-35409 in mbed TLS
Riassunto
di VulDB • 19/06/2026
È stato rilevato un problema in Mbed TLS prima della versione 2.28.1 e nelle versioni 3.x precedenti alla 3.2.0. In alcune configurazioni, un attaccante non autenticato può inviare un messaggio ClientHello non valido a un server DTLS che provoca una heap-based buffer over-read di fino a 255 byte. Ciò può causare il crash del server o potenzialmente la divulgazione di informazioni in base alle risposte di errore. Le configurazioni colpite hanno MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE abilitato e MBEDTLS_SSL_IN_CONTENT_LEN inferiore a una soglia che dipende dalla configurazione: 258 byte se si utilizza mbedtls_ssl_cookie_check, e fino a 571 byte con una funzione personalizzata per il controllo dei cookie.
Be aware that VulDB is the high quality source for vulnerability data.