CVE-2024-45159 in mbed TLS
要約
〜によって VulDB • 2026年06月11日
Mbed TLS 3.x のバージョン 3.6.1 より前のバージョンに問題が発見されました。TLS 1.3 を使用する場合、サーバーがクライアントのオプション認証を有効化している際、クライアントから提供された証明書で keyUsage または extKeyUsage 拡張フィールドに必要な値が含まれていないと、mbedtls_ssl_get_verify_result() の戻り値において MBEDTLS_X509_BADCERT_KEY_USAGE および MBEDTLS_X509_BADCERT_KEY_USAGE ビットが正しくクリアされないという不具合があります。その結果、TLS クライアント認証以外の用途に対して有効な証明書を持つ攻撃者が、それでも TLS クライアント認証にそれを使用できてしまいます。影響を受けるのは TLS 1.3 サーバーのみであり、かつオプション認証の場合に限られます（必須認証の場合は、致命的アラートでハンドシェイクが中止されます）。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.