CVE-2025-32989
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
W bibliotece GnuTLS wykryto podatność polegającą na odczycie poza dozwolonym obszarem pamięci sterty podczas przetwarzania rozszerzenia Certificate Transparency (CT) Signed Certificate Timestamp (SCT) w certyfikatach X.509. Problem umożliwia atakującemu stworzenie certyfikatu z nieprawidłowym rozszerzeniem SCT (OID 1.3.6.1.4.1.11129.2.4.2), które może zawierać wrażliwe dane. W rezultacie podczas weryfikacji certyfikatów przez GnuTLS może dojść do ujawnienia poufnych informacji.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych, gdy GnuTLS weryfikuje certyfikaty z określonych stron internetowych, a rozszerzenie SCT nie jest poprawnie sprawdzane. Może to prowadzić do ujawnienia informacji wrażliwych osobom nieuprawnionym.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę GnuTLS do wersji, w której usunięto tę podatność. Do czasu aktualizacji zaleca się ograniczenie zaufania do certyfikatów z nieprawidłowymi rozszerzeniami SCT.
Oryginalny opis (angielski, źródło NVD)
A heap-buffer-overread vulnerability was found in GnuTLS in how it handles the Certificate Transparency (CT) Signed Certificate Timestamp (SCT) extension during X.509 certificate parsing. This flaw allows a malicious user to create a certificate containing a malformed SCT extension (OID 1.3.6.1.4.1.11129.2.4.2) that contains sensitive data. This issue leads to the exposure of confidential information when GnuTLS verifies certificates from certain websites when the certificate (SCT) is not checked correctly.