CVE-2026-73251
CVE-2026-73251 · Mongoose Built-in TLS: CA-bundle certificate chain accepted without any signature verification
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Mongoose is an embedded web server and network library. Prior to 7.23, a network attacker can impersonate a TLS server to a Mongoose client configured with a multi-certificate CA bundle. In src/tls_builtin.c, the mg_tls_init() function stores the bundle in tls->ca_bundle_der while tls->ca_der.len remains zero, and mg_tls_recv_cert() uses tls_bundle_find() to accept a Common Name match without calling mg_tls_verify_cert_signature(). A forged self-signed certificate can therefore satisfy hostname and CertificateVerify checks and enable interception, credential disclosure, traffic modification, and malicious responses. This issue is fixed in version 7.23.
CVSS 9.3 · Критический · EPSS 0,2% · Есть исправление
- Опубликовано
- Обновлено
Стек: system
Затронутые продукты и версии
mongoose
- Версии
- < 7.23: Затронуто
Нет опубликованного исправления
mongoose Debian:14
- Версии
- 7.21+ds-1
- 7.21+ds-1~bpo13+1
- 7.21+ds-2
- 7.22+ds-1
- 7.22+ds-1~bpo13+1
- 7.23+ds-1~bpo13+1
- Затронутые диапазоны версий
- ECOSYSTEM: < 7.23+ds-1
Обновитесь до 7.23+ds-1
mongoose Ubuntu:26.10
- Версии
- 7.21+ds-1
- 7.21+ds-2
- 7.22+ds-1
- 7.23+ds-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления