CVE-2026-59993
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Picotls to biblioteka protokołu TLS umożliwiająca wybór różnych backendów kryptograficznych. W wersjach do 44bc503, gdy picotls jest używane jako kliencki stos TLS, peer może wysłać HelloRetryRequest, a następnie sfałszowaną wiadomość Hello, co powoduje dereferencję wskaźnika null. Może to zakończyć proces konsumenta, w tym proces wykonujący inne zadania, powodując odmowę usługi. Problem naprawiono w commicie a06ca41.
Ocena ryzyka
Złośliwy lub przejęty serwer TLS może spowodować awarię procesu klienta korzystającego z picotls, prowadząc do odmowy usługi. Dotyczy to aplikacji używających picotls jako klienckiego stosu TLS.
Rekomendacja
Zaktualizuj picotls do wersji zawierającej commit a06ca41. Do czasu aktualizacji rozważ ograniczenie zaufania do serwerów TLS lub wdrożenie mechanizmów nadzoru procesów.
Inne podatności w Picotls
Oryginalny opis (angielski, źródło NVD)
Picotls is a TLS protocol library that allows users select different crypto backends based on their use case. In affected revisions through 44bc503, when picotls is used as a `client-side TLS stack`, a peer can send a `HelloRetryRequest` followed by a `spoofed Hello message` that causes a null-pointer dereference. This can terminate the consuming process, including a process performing other work, resulting in denial of service. This issue is fixed in commit a06ca41.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS