PT-2024-14545 · Mbed Tls+1 · Mbed Tls+1

Hey3Eo · Publicado 2024-01-21 · Atualizado 2024-11-14 · CVE-2023-52353

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Mbed TLS até a 3.5.1

Descrição

Foi detectada uma falha na função mbedtls ssl session reset, na qual a versão máxima negociável do TLS é tratada incorretamente. Por exemplo, se a última conexão negociou o TLS 1.2, então 1.2 passa a ser o novo limite máximo.

Recomendações

Para as versões do Mbed TLS até a 3.5.1, considere atualizar para uma versão que corrija o problema na função mbedtls ssl session reset.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Session Fixation

Enumeração de Fraquezas

CWE-384

Identificadores relacionados

ALT-PU-2024-15509

ALT-PU-2024-1578

CVE-2023-52353

Produtos afetados

Alt Linux

Mbed Tls

Referências · 10

• 🔥 https://github.com/Mbed-TLS/mbedtls/issues/8654 · Exploit
• https://ubuntu.com/security/CVE-2023-52353 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1749242061960679638 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2023-52353 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1749200470608900574 · Publicação no Twitter
• https://t.me/cvenotify/69085 · Publicação no Telegram
• https://t.me/cvenotify/68171 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-52353 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-52353 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2023-52353 · Nota de Segurança