Vulnerabilidad en Mbed TLS (CVE-2024-28836)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

03/04/2024

Última modificación:

27/06/2025

Descripción

Se descubrió un problema en Mbed TLS 3.5.x anterior a 3.6.0. Al negociar la versión TLS en el lado del servidor, puede recurrir a la implementación TLS 1.2 del protocolo si está deshabilitada. Si la implementación de TLS 1.2 se deshabilitó en el momento de la compilación, un cliente TLS 1.2 podría colocar un servidor exclusivo de TLS 1.3 en un bucle infinito procesando un ClientHello de TLS 1.2, lo que resultaría en una denegación de servicio. Si la implementación de TLS 1.2 se deshabilitó en tiempo de ejecución, un cliente TLS 1.2 puede establecer exitosamente una conexión TLS 1.2 con el servidor.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno