CVE-2026-73252
Beschrijving NL
Mongoose is een embedded webserver en netwerkbibliotheek. Voorafgaand aan 7.23 accepteert de ingebouwde TLS-stack geselecteerd door MG_TLS_BUILTIN in src/tls_builtin.c een TLS 1.3-record waarvan de gedecodeerde grootte precies de 16-byte authenticatietag is zonder platte tekst of ContentType-byte. In mg_tls_recv_record() staat de msgsz-lengtecontrole toe dat record en de recv_len-berekening onderloopt naar SIZE_MAX, dus een latere handdrukstap behandelt verouderde bufferinhoud als een vertrouwd bericht met een effectief onbegrensde lengte. Een niet-geverifieerde kwaadaardige TLS-peer kan een heap buiten bereik activeren die wordt gelezen vóór het certificaat of de validatie Voltooid, waardoor een denial of service op afstand wordt veroorzaakt. Dit probleem is opgelost in versie 7.23.
Origineel (Engels) tonen
Mongoose is an embedded web server and network library. Prior to 7.23, the built-in TLS stack selected by MG_TLS_BUILTIN in src/tls_builtin.c accepts a TLS 1.3 record whose decrypted size is exactly the 16-byte authentication tag with no plaintext or ContentType byte. In mg_tls_recv_record(), the msgsz length check permits that record and the recv_len calculation underflows to SIZE_MAX, so a later handshake step treats stale buffer contents as a trusted message with an effectively unbounded length. An unauthenticated malicious TLS peer can trigger a heap out-of-bounds read before certificate or Finished validation, causing a remote denial of service. This issue is fixed in version 7.23.