PT-2020-13122 · Wolfssl · Wolfssl

Lenny Wang · Publicado 2020-08-21 · Atualizado 2021-07-21 · CVE-2020-12457

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do wolfSSL anteriores à 4.5.0

Descrição

Uma falha na lógica de processamento da mensagem change cipher spec (CCS) do TLS 1.3 pode causar uma negação de serviço. Se um invasor enviar mensagens ChangeCipherSpec de uma maneira específica, envolvendo mais de uma seguidas, o servidor fica preso no loop ProcessReply().

Recomendações

Para versões anteriores à 4.5.0, atualize para a versão 4.5.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir ou desativar o suporte a TLS 1.3 até que um patch esteja disponível.

Correção

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

CVE-2020-12457

Produtos afetados

Wolfssl

Referências · 9

• https://github.com/wolfSSL/wolfssl/pull/2927 · Correção
• https://github.com/wolfSSL/wolfssl/releases/tag/v4.5.0-stable · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-12457 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-12457 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-12457 · Nota de Segurança
• https://ubuntu.com/security/CVE-2020-12457 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-12457 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-12457 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2020-12457 · Aviso do Fabricante