CVE-2022-35409 in mbed TLS

Tóm tắt

Bởi VulDB • 05/06/2026

Đã phát hiện một vấn đề trong Mbed TLS trước phiên bản 2.28.2 và các phiên bản dòng 3.x trước 3.2.0. Trong một số cấu hình, kẻ tấn công chưa được xác thực có thể gửi tin nhắn ClientHello không hợp lệ đến máy chủ DTLS, gây ra lỗi heap-based buffer over-read lên tới 255 byte. Điều này có thể khiến máy chủ bị sập hoặc tiết lộ thông tin dựa trên các phản hồi lỗi. Các cấu hình bị ảnh hưởng có bật MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE và giá trị MBEDTLS_SSL_IN_CONTENT_LEN nhỏ hơn một ngưỡng phụ thuộc vào cấu hình: 258 byte nếu sử dụng mbedtls_ssl_cookie_check, và có thể lên tới 571 byte với hàm kiểm tra cookie tùy chỉnh.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Đặt trước: 08/07/2022
• Tiết lộ: 15/07/2022
• Kiểm duyệt: được chấp nhận
• mục: VDB-203984
• CPE: sẵn sàng
• CWE: CWE-122 (Đã xác nhận)
• CVSS: 9.1 (NVD)
• EPSS: 0.02234
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-35409
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-35409
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-35409/