CVE-2024-45157
MediumCVSS 5.1Summary
W Mbed TLS przed wersją 2.28.9 oraz 3.x przed wersją 3.6.1 występuje problem, w którym wybrany przez użytkownika algorytm nie jest używany. Włączenie MBEDTLS_PSA_HMAC_DRBG_MD_TYPE nie powoduje, że subsystem PSA korzysta z HMAC_DRBG, a jedynie wtedy, gdy MBEDTLS_PSA_CRYPTO_EXTERNAL_RNG i MBEDTLS_CTR_DRBG_C są wyłączone.
Risk Assessment
Brak wykorzystania wybranego algorytmu może prowadzić do osłabienia bezpieczeństwa generowanych kluczy, co stwarza ryzyko dla integralności i poufności danych w organizacji.
Recommendation
Zaleca się aktualizację Mbed TLS do najnowszej wersji, aby zapewnić prawidłowe działanie algorytmów kryptograficznych oraz zwiększyć bezpieczeństwo systemu.
Original NVD description (English source)
An issue was discovered in Mbed TLS before 2.28.9 and 3.x before 3.6.1, in which the user-selected algorithm is not used. Unlike previously documented, enabling MBEDTLS_PSA_HMAC_DRBG_MD_TYPE does not cause the PSA subsystem to use HMAC_DRBG: it uses HMAC_DRBG only when MBEDTLS_PSA_CRYPTO_EXTERNAL_RNG and MBEDTLS_CTR_DRBG_C are disabled.