Podatności TLS 1.3

W TLS 1.3 rzeczywisty typ rekordu jest osadzany jako ostatni niezerowy bajt odszyfrowanego ładunku, opcjonalnie z zerowym dopełnieniem. Kod wyszukujący wewnętrzny typ rekordu miał błąd off-by-one, który mógł być wywołany przez nieprawidłową ramkę, prowadząc do niedomiaru, a następnie bezwarunkowego dereferencji wskaźnika NULL, powodując panikę jądra. Zdalny peer TLS 1.3 może wysłać specjalnie spreparowany rekord, aby wywołać panikę jądra, powodując odmowę usługi (DoS).

Jeśli jedna strona połączenia TLS wyśle wiele komunikatów aktualizacji klucza po uzgodnieniu w pojedynczym rekordzie, połączenie może się zablokować, powodując niekontrolowane zużycie zasobów. Prowadzi to do odmowy usługi. Podatność dotyczy tylko TLS 1.3.

W połączeniach TLS 1.2 klient może użyć dowolnego obsługiwanego skrótu, w tym słabszego, zamiast skrótów wskazanych w CertificateRequest. Może to osłabić bezpieczeństwo uzgadniania połączenia.

Przy użyciu TLS 1.3 z kluczem pre-shared (PSK) złośliwy lub wadliwy serwer może zignorować żądanie PFS (perfect forward secrecy), a klient kontynuuje połączenie z PSK bez PFS. Dzieje się tak, gdy serwer odpowiada na ClientHello zawierające psk_dhe_ke bez rozszerzenia key_share, co obniża bezpieczeństwo połączenia.