Wolfssl · Wolfssl · CVE-2023-6937
**Nome do software vulnerável e versões afetadas**
Versões do wolfSSL anteriores à 5.6.6
**Descrição**
O problema decorre da falha na verificação de que as mensagens em um registro (D)TLS não ultrapassem os limites das chaves, permitindo a combinação de mensagens (D)TLS que utilizam chaves diferentes em um único registro (D)TLS. No caso mais extremo, no (D)TLS 1.3, um registro (D)TLS 1.3 não criptografado do servidor contendo uma mensagem ServerHello e o restante da primeira sequência do servidor poderia ser aceito por um cliente wolfSSL. Embora isso não comprometa a negociação de chaves e a autenticação, representa um risco à segurança.
**Recomendações**
Para versões do wolfSSL anteriores à 5.6.6, atualize para a versão 5.6.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de registros (D)TLS 1.3 para minimizar o risco de exploração. Evite usar fluxos não criptografados do servidor em (D)TLS 1.3 até que o problema seja resolvido.