CVE-2024-28836
MediumCVSS 5.4Summary
W Mbed TLS w wersji 3.5.x przed 3.6.0 odkryto problem związany z negocjacją wersji TLS po stronie serwera. Może on przejść do implementacji TLS 1.2, nawet jeśli została ona wyłączona, co prowadzi do nieskończonej pętli w przypadku klienta TLS 1.2 próbującego połączyć się z serwerem obsługującym tylko TLS 1.3.
Risk Assessment
Podatność ta może prowadzić do odmowy usługi, co może wpłynąć na dostępność usług w organizacji. Klienci mogą być w stanie nawiązać połączenie, co może prowadzić do nieprzewidywalnych zachowań serwera.
Recommendation
Zaleca się aktualizację Mbed TLS do wersji 3.6.0 lub nowszej, aby wyeliminować tę podatność. Należy również sprawdzić konfigurację serwera i upewnić się, że odpowiednie wersje TLS są poprawnie włączone lub wyłączone.
Original NVD description (English source)
An issue was discovered in Mbed TLS 3.5.x before 3.6.0. When negotiating the TLS version on the server side, it can fall back to the TLS 1.2 implementation of the protocol if it is disabled. If the TLS 1.2 implementation was disabled at build time, a TLS 1.2 client could put a TLS 1.3-only server into an infinite loop processing a TLS 1.2 ClientHello, resulting in a denial of service. If the TLS 1.2 implementation was disabled at runtime, a TLS 1.2 client can successfully establish a TLS 1.2 connection with the server.