CVE-2026-11404
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W Cesanta Mongoose przed wersją 7.22 wykryto podatność polegającą na odczycie poza dozwolonym zakresem w funkcji mg_tls_server_recv_hello(). Atakujący może wysłać spreparowane ClientHello z nadmierną długością identyfikatora sesji, co prowadzi do odczytu poza buforem i awarii usług HTTPS, MQTTS lub WSS.
Ocena ryzyka
Zdalny, nieuwierzytelniony atakujący może spowodować awarię serwera, co prowadzi do przerwania działania usług krytycznych dla organizacji, takich jak bezpieczna komunikacja przez HTTPS, MQTT czy WebSocket.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Cesanta Mongoose do wersji 7.22 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w Cesanta Mongoose
Zobacz wszystkie- CVE-2017-2909Wysokie
W bibliotece Cesanta Mongoose 6.8 występuje błąd programistyczny prowadzący do nieskończonej pętli w funkcjonalności serwera DNS. Specjalnie skonstruowane żądanie DNS może spowodować nieskończoną pętlę, co skutkuje wysokim zużyciem CPU i odmową usługi.
- CVE-2017-2895Wysokie
W podatności CVE-2017-2895 występuje możliwość odczytu pamięci poza przydzielonym zakresem w funkcjonalności analizy pakietów MQTT w Cesanta Mongoose 6.8. Specjalnie skonstruowany pakiet MQTT SUBSCRIBE może prowadzić do ujawnienia informacji oraz odmowy usługi.
- CVE-2017-2893Wysokie
W funkcjonalności parsowania pakietów MQTT w Cesanta Mongoose 6.8 występuje podatność na dereferencję wskaźnika NULL, która może prowadzić do awarii serwera. Wysłanie specjalnie przygotowanego pakietu MQTT SUBSCRIBE przez atakującego może wywołać tę podatność.
- CVE-2017-2922Krytyczne
W podatności CVE-2017-2922 występuje błąd w zarządzaniu pamięcią w implementacji protokołu Websocket w Cesanta Mongoose 6.8. Specjalnie skonstruowany pakiet websocket może prowadzić do przydzielenia bufora z pozostawionymi nieaktualnymi wskaźnikami, co skutkuje podatnością typu use-after-free, mogącą być wykorzystaną do zdalnego wykonania kodu.
- CVE-2017-2921Krytyczne
W podatności CVE-2017-2921 występuje błąd w implementacji protokołu Websocket w Cesanta Mongoose 6.8, który może prowadzić do przepełnienia bufora na stercie. Specjalnie skonstruowany pakiet websocket może spowodować przepełnienie całkowitej liczby całkowitej, co skutkuje odmową usługi oraz potencjalnym zdalnym wykonaniem kodu.
- CVE-2017-2894Krytyczne
W podatności CVE-2017-2894 występuje przepełnienie bufora stosu w funkcjonalności analizy pakietów MQTT w Cesanta Mongoose 6.8. Specjalnie skonstruowany pakiet MQTT SUBSCRIBE może spowodować przepełnienie bufora, co prowadzi do zdalnego wykonania kodu.
- CVE-2017-2892Krytyczne
W Cesanta Mongoose 6.8 występuje podatność na odczyt pamięci poza granicami w funkcjonalności parsowania pakietów MQTT. Specjalnie skonstruowany pakiet MQTT może prowadzić do nieautoryzowanego odczytu i zapisu pamięci, co może skutkować ujawnieniem informacji, odmową usługi oraz zdalnym wykonaniem kodu.
- CVE-2017-2891Krytyczne
W podatności CVE-2017-2891 występuje problem typu use-after-free w implementacji serwera HTTP Cesanta Mongoose 6.8. Zwykłe żądanie HTTP POST z celem CGI może spowodować ponowne użycie wcześniej zwolnionego wskaźnika, co potencjalnie prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Cesanta Mongoose before 7.22 contains an out-of-bounds read in the built-in TLS server function mg_tls_server_recv_hello(), which uses an attacker-controlled session_id_len byte from a TLS ClientHello as a buffer index without validating it against the length of received data. A remote, unauthenticated attacker can send a single crafted ClientHello with an oversized session id length to read past the receive buffer, crashing any HTTPS, MQTTS, or WSS service built on MG_TLS_BUILTIN.