Katalog CVE
CVE-2025-27809
ŚrednieCVSS 5.4Streszczenie
Mbed TLS w wersjach przed 2.28.10 oraz 3.x przed 3.6.3 na stronie klienta akceptuje serwery z zaufanymi certyfikatami dla dowolnych nazw hostów, chyba że aplikacja kliencka TLS wywoła funkcję mbedtls_ssl_set_hostname.
Ocena ryzyka
Brak odpowiedniego ustawienia nazwy hosta może prowadzić do ataków typu man-in-the-middle, co zagraża integralności i poufności przesyłanych danych.
Rekomendacja
Zaleca się, aby aplikacje klienckie TLS zawsze wywoływały funkcję mbedtls_ssl_set_hostname w celu weryfikacji nazw hostów przed nawiązaniem połączenia.
Oryginalny opis (angielski, źródło NVD)
Mbed TLS before 2.28.10 and 3.x before 3.6.3, on the client side, accepts servers that have trusted certificates for arbitrary hostnames unless the TLS client application calls mbedtls_ssl_set_hostname.