Yuaacindy

**Nome do software vulnerável e versões afetadas** Mbed TLS versões 3.0.0 e anteriores **Descrição** Existe uma vulnerabilidade de negação de serviço na função `mbedtls pkcs12 derivation` quando o comprimento da senha de entrada é 0. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. A função `mbedtls pkcs12 derivation` faz parte da implementação Mbed TLS dos protocolos TLS e SSL e é afetada por erros no tratamento do comprimento da senha de entrada. **Recomendações** Para as versões 3.0.0 e anteriores do Mbed TLS, considere atualizar para uma versão em que este problema tenha sido corrigido, pois o uso de uma senha com comprimento igual a 0 pode causar uma negação de serviço. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Crypto++ (também conhecido como Cryptopp) versões 8.6.0 e anteriores **Descrição** O problema diz respeito a um vazamento de tempo na função `MakePublicKey()`, onde existe uma correlação entre o tempo de execução e o comprimento da chave privada. Isso poderia permitir que invasores realizassem ataques de temporização e divulgassem as informações sobre o comprimento da chave privada. No entanto, observa-se que este relatório é contestado pelo fornecedor e por vários terceiros, que afirmam que as diferenças no tempo de execução são intencionais e fazem parte de um equilíbrio entre segurança e desempenho, sendo que as informações vazadas têm valor mínimo. **Recomendações** Para as versões 8.6.0 e anteriores do Crypto++ (também conhecido como Cryptopp), considere atualizar para uma versão em que essa vulnerabilidade tenha sido corrigida, embora a controvérsia sugira que o impacto possa ser mínimo. Como solução temporária, os usuários podem precisar avaliar as compensações entre a força da chave e o desempenho, possivelmente escolhendo chaves mais fortes em detrimento do desempenho. No entanto, sem uma resolução clara ou patch disponível, a principal recomendação seria aguardar orientações adicionais do fornecedor ou da comunidade de segurança. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.