CVE-2025-54764

Podatność w bibliotece Mbed TLS (wersje 2.19.0 do 3.6.5 oraz 4.0.0) wynika z niedostatecznej ochrony serializowanych struktur SSL. Osoba atakująca może modyfikować te struktury, powodując uszkodzenie pamięci i potencjalnie wykonanie dowolnego kodu.

W sterowniku shim kryptografii Mbed TLS (drivers/crypto/crypto_mbedtls_shim.c) ścieżki błędów w funkcjach mbedtls_cbc() i mbedtls_aead() po udanym psa_cipher_encrypt_setup()/psa_aead_decrypt_setup() nie wywołują psa_cipher_abort()/psa_aead_abort(). Powoduje to trwały wyciek kontekstu mbedtls_aes_context (ok. 288 bajtów) ze stałego sterty Mbed TLS (domyślnie 512 bajtów) przy każdej nieudanej operacji. Atakujący bez uwierzytelnienia może wyczerpać stertę, wysyłając ramki 802.15.4 z błędnym MIC lub przez kanał OSDP, co trwale blokuje kolejne operacje kryptograficzne do restartu urządzenia.

W Mbed TLS w wersjach 3.2.0 do 3.6.6 oraz 4.0.0 do 4.1.0 atakujący, który może spowodować awarię źródła entropii, może usunąć lub wstrzyknąć bajty na początku strumienia TLS. Podatność dotyczy wyłącznie serwerów TLS 1.3.

W bibliotece Mbed TLS w wersjach 3.6.x przed 3.6.7 oraz 4.1.x przed 4.1.2 klient TLS 1.3 akceptuje komunikat HelloRetryRequest wskazujący grupę, której klient nie zadeklarował wcześniej. Może to prowadzić do naruszenia uzgodnień protokołu TLS 1.3.

Mbed TLS 3.x przed 3.6.6 zawiera podatność na odczyt poza zakresem w funkcji mbedtls_ccm_finish() z powodu braku walidacji parametru tag_len. Atakujący może uzyskać dane z sąsiedniego kontekstu CCM.

W Mbed TLS do wersji 4.0.0 występuje wywołany przez kompilator kanał boczny czasowy (w deszyfrowaniu RSA oraz CBC/ECB), który pojawia się tylko przy użyciu funkcji select-optimize w LLVM. Dotyczy to również TF-PSA-Crypto do wersji 1.0.0.

Mbed TLS do wersji 3.6.4 zawiera podatność typu Observable Timing Discrepancy (obserwowalna rozbieżność czasowa). Może to pozwolić atakującemu na wywnioskowanie informacji na podstawie różnic w czasie wykonania operacji kryptograficznych.