CVE-2026-73064
NiskieCVSS 2.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W Mbed TLS w wersjach 3.2.0 do 3.6.6 oraz 4.0.0 do 4.1.0 atakujący, który może spowodować awarię źródła entropii, może usunąć lub wstrzyknąć bajty na początku strumienia TLS. Podatność dotyczy wyłącznie serwerów TLS 1.3.
Ocena ryzyka
Atakujący może manipulować początkiem strumienia TLS, co może prowadzić do naruszenia integralności komunikacji i potencjalnego wstrzyknięcia danych. Dotyczy to serwerów TLS 1.3 korzystających z podatnej wersji Mbed TLS.
Rekomendacja
Zaktualizuj Mbed TLS do wersji zawierającej poprawkę (nowszej niż 3.6.6 lub 4.1.0) oraz zapewnij niezawodne źródła entropii w środowisku serwera.
Inne podatności w Mbed TLS
Zobacz wszystkie- CVE-2026-34877Krytyczne
Podatność w bibliotece Mbed TLS (wersje 2.19.0 do 3.6.5 oraz 4.0.0) wynika z niedostatecznej ochrony serializowanych struktur SSL. Osoba atakująca może modyfikować te struktury, powodując uszkodzenie pamięci i potencjalnie wykonanie dowolnego kodu.
- CVE-2026-25832Niskie
W bibliotece Mbed TLS w wersjach 3.6.x przed 3.6.7 oraz 4.1.x przed 4.1.2 klient TLS 1.3 akceptuje komunikat HelloRetryRequest wskazujący grupę, której klient nie zadeklarował wcześniej. Może to prowadzić do naruszenia uzgodnień protokołu TLS 1.3.
- CVE-2026-34876Wysokie
Mbed TLS 3.x przed 3.6.6 zawiera podatność na odczyt poza zakresem w funkcji mbedtls_ccm_finish() z powodu braku walidacji parametru tag_len. Atakujący może uzyskać dane z sąsiedniego kontekstu CCM.
Oryginalny opis (angielski, źródło NVD)
In Mbed TLS 3.2.0 though 3.6.6 and 4.0.0 through 4.1.0, an attacker who can cause an entropy source to fail can remove or inject bytes into the start of the TLS stream. This only affects TLS 1.3 servers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS