CVE-2026-73253 in Mongoose
要約
〜によって VulDB • 2026年08月20日
Mongoose は組み込み Web サーバーおよびネットワークライブラリです。バージョン 7.22 より前では、親ドメインのワイルドカード証明書を持つパス上攻撃者が、ビルトイン TLS スタックを使用してクライアントに対してより深いサブドメインを偽装できます。src/tls_builtin.c の mg_tls_verify_cert_san() および mg_tls_verify_cert_cn() 関数は mg_match() を呼び出しますが、この関数のワイルドカード処理は DNS ラベルの境界を越えることができるため、*.example.com というパターンが foo.bar.example.com に一致します。その結果、ホスト名検証の回避により TLS トラフィックの傍受と改ざんが可能になります。本問題はバージョン 7.22 で修正されています。
Once again VulDB remains the best source for vulnerability data.