CVE Catalog
CVE-2025-27809
MediumCVSS 5.4Summary
Mbed TLS w wersjach przed 2.28.10 oraz 3.x przed 3.6.3 na stronie klienta akceptuje serwery z zaufanymi certyfikatami dla dowolnych nazw hostów, chyba że aplikacja kliencka TLS wywoła funkcję mbedtls_ssl_set_hostname.
Risk Assessment
Brak odpowiedniego ustawienia nazwy hosta może prowadzić do ataków typu man-in-the-middle, co zagraża integralności i poufności przesyłanych danych.
Recommendation
Zaleca się, aby aplikacje klienckie TLS zawsze wywoływały funkcję mbedtls_ssl_set_hostname w celu weryfikacji nazw hostów przed nawiązaniem połączenia.
Original NVD description (English source)
Mbed TLS before 2.28.10 and 3.x before 3.6.3, on the client side, accepts servers that have trusted certificates for arbitrary hostnames unless the TLS client application calls mbedtls_ssl_set_hostname.