BDU:2023-06434

Опубликовано: 06 окт. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость реализации протоколов TLS и SSL программного обеспечения Mbed TLS связана с возможностью переполнения буфера на основе кучи. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код, путём отправки специально сформированного открытого ECDH или FFDH ключей

Вендор

Сообщество свободного программного обеспечения

ARM Limited

Наименование ПО

Debian GNU/Linux

Mbed TLS

Версия ПО

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

до 3.2.0 (Mbed TLS)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование конфигурации по умолчанию (mbed TLS 2.28 не затрагивается);

- использование сборки TLS 1.2, поддерживающей RSA или FFDH с ключами размером не менее 2048 бит в дополнение к ECDH (сборка TLS 1.3 остается затронутой).

Использование рекомендаций производителя:

Для Mbed TLS:

https://mbed-tls.readthedocs.io/en/latest/security-advisories/mbedtls-security-advisory-2023-10-2/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-45199

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-45199
CVE

EPSS

Процентиль: 93%

0.09273

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-45199

CVSS3: 9.8

ubuntu

больше 2 лет назад

Mbed TLS 3.2.x through 3.4.x before 3.5 has a Buffer Overflow that can lead to remote Code execution.

CVE-2023-45199

CVSS3: 9.8

nvd

больше 2 лет назад

Mbed TLS 3.2.x through 3.4.x before 3.5 has a Buffer Overflow that can lead to remote Code execution.

CVE-2023-45199

CVSS3: 9.8

debian

больше 2 лет назад

Mbed TLS 3.2.x through 3.4.x before 3.5 has a Buffer Overflow that can ...

GHSA-9xgp-crg4-hgxq

CVSS3: 9.8

github

больше 2 лет назад

Mbed TLS 3.2.x through 3.4.x before 3.5 has a Buffer Overflow that can lead to remote Code execution.

EPSS

Процентиль: 93%

0.09273

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2