CVE-2022-35409 in mbed TLS
Sumário
de VulDB • 10/05/2026
Foi identificada uma vulnerabilidade no Mbed TLS anterior à versão 2.28.2 e nas séries 3.x anteriores à 3.2.0. Em algumas configurações, um atacante não autenticado pode enviar uma mensagem ClientHello inválida a um servidor DTLS, o que provoca uma leitura de buffer baseada em heap (heap-based buffer over-read) de até 255 bytes. Isto pode causar a interrupção do servidor ou, potencialmente, a divulgação de informações com base nas respostas de erro. As configurações afetadas têm o MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE ativado e o MBEDTLS_SSL_IN_CONTENT_LEN inferior a um limiar que depende da configuração: 258 bytes se estiver a ser utilizado o mbedtls_ssl_cookie_check, e possivelmente até 571 bytes com uma função de verificação de cookie personalizada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.