PT-2024-1658 · Mbed Tls+3 · Mbed Tls+3
Hubert Kario
·
Publicado
2024-01-10
·
Atualizado
2026-05-05
·
CVE-2024-23170
CVSS v3.1
5.5
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões 2.x do Mbed TLS anteriores à 2.28.7
Versões 3.x do Mbed TLS anteriores à 3.5.2
Descrição
Um canal lateral de temporização nas operações privadas RSA poderia permitir que um invasor local recuperasse o texto simples enviando um grande número de mensagens para descriptografia, conforme descrito em “Everlasting ROBOT: the Marvin Attack”, de Hubert Kario. Esse canal lateral poderia ser explorado por um invasor remoto para obter acesso a informações confidenciais.
Recomendações
Para as versões 2.x do Mbed TLS anteriores à 2.28.7, atualize para a versão 2.28.7 ou posterior para resolver o problema.
Para as versões 3.x do Mbed TLS anteriores à 3.5.2, atualize para a versão 3.5.2 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso às operações privadas RSA até que um patch esteja disponível.
Correção
Information Disclosure
Side Channel Attack
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Debian
Mbed Tls