PT-2022-22810 · Mbed Tls+3 · Mbed Tls+3

Hubert Kario · Publicado 2022-07-13 · Atualizado 2026-06-05 · CVE-2022-35409

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Mbed TLS anteriores à 2.28.1

Versões 3.x do Mbed TLS anteriores à 3.2.0

Descrição

Foi descoberta uma vulnerabilidade no Mbed TLS em que um invasor não autenticado pode enviar uma mensagem ClientHello inválida a um servidor DTLS, causando uma leitura excessiva do buffer baseada em heap de até 255 bytes. Isso pode causar uma falha no servidor ou, possivelmente, a divulgação de informações com base em respostas de erro. As configurações afetadas têm MBEDTLS SSL DTLS CLIENT PORT REUSE habilitado e MBEDTLS SSL IN CONTENT LEN menor que um limite que depende da configuração.

Recomendações

Para versões do Mbed TLS anteriores à 2.28.1, atualize para a versão 2.28.1 ou posterior.

Para versões 3.x do Mbed TLS anteriores à 3.2.0, atualize para a versão 3.2.0 ou posterior.

Como solução temporária, considere desativar o recurso MBEDTLS SSL DTLS CLIENT PORT REUSE até que um patch esteja disponível.

Restrinja o acesso ao servidor DTLS para minimizar o risco de exploração.

Exploit

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

ALT-PU-2022-2237

ALT-PU-2022-2561

ALT-PU-2025-10462

CVE-2022-35409

DLA-3249-1

MGASA-2022-0415

OPENSUSE-SU-2022:10247-1

OPENSUSE-SU-2024:12478-1

Produtos afetados

Alt Linux

Astra Linux

Debian

Mbed Tls

Referências · 39

• 🔥 https://mbed-tls.readthedocs.io/en/latest/security-advisories/advisories/mbedtls-security-advisory-2022-07.html · Exploit
• https://github.com/Mbed-TLS/mbedtls/releases · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/e5af9fabf7d68e3807b6ea78792794b8352dbba2 · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/3c036f54cc3a25e4d6b8003202b7e640522f4621 · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/862acb84033840b7e6376a4155ed5be2a6a4e117 · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/a39170bbed1f5a69f108ea19fe3510c3643d53ab · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/33f41a8fa858128d5e9a1d1e1afbd4e63f24d444 · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/6b4f062cde84b9df57275676c428508ec6e41211 · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/719c723afc63930d3472a12c0edb654a7d08d6b9 · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/f333dfab4a6c2d8a604a61558a8f783145161de4 · Nota
• https://github.com/Mbed-TLS/mbedtls/commit/4353d3d593cda3849a04c676288e0c790fa86a3c · Nota
• https://github.com/Mbed-TLS/mbedtls-docs/blob/5e9790353d2d9e41e85262eebe52fd90bb49f1e0/security-advisories/advisories/mbedtls-security-advisory-2022-07.md · Nota
• https://t.me/cvenotify/33140 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-35409 · Nota de Segurança
• https://t.me/cvenotify/33849 · Publicação no Telegram