CVE-2025-66199
NiskieStreszczenie
Podatność w TLS 1.3 z kompresją certyfikatów pozwala na wymuszenie alokacji dużego bufora przed dekompresją, bez sprawdzenia limitu rozmiaru certyfikatu. Atakujący może spowodować alokację pamięci do około 22 MiB na połączenie.
Ocena ryzyka
Ryzyko polega na nadmiernym zużyciu pamięci przez serwer lub klienta, co może prowadzić do wyczerpania zasobów i odmowy usługi (DoS).
Rekomendacja
Zaleca się aktualizację do wersji biblioteki zawierającej poprawkę oraz monitorowanie alokacji pamięci w kontekście połączeń TLS.
Oryginalny opis (angielski, źródło NVD)
Issue summary: A TLS 1.3 connection using certificate compression can be forced to allocate a large buffer before decompression without checking against the configured certificate size limit. Impact summary: An attacker can cause per-connection memory allocations of up to approximately 22 MiB and e