BDU:2022-02080 (CVE-2020-36423)

Уязвимость реализации протоколов TLS и SSL Mbed TLS, связанная с передачей защищаемой информации в незашифрованном виде, позволяющая нарушителю получить доступ к конфиденциальным данным

Опубликовано: 2022-04-11

Описание

Уязвимость реализации протоколов TLS и SSL Mbed TLS связана с тем, что контрмера Lucky 13 некорректно учитывает случай с аппаратным ускорением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Debian GNU/Linux (11)Mbed TLS (до 2.16.7)Mbed TLS (от 2.17.0 до 2.23.0)

Способ устранения

Для Mbed TLS:
использование рекомендаций производителя: https://bugs.gentoo.org/730752

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-36423

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://bugs.gentoo.org/730752 https://github.com/ARMmbed/mbedtls/issues/3246 https://github.com/ARMmbed/mbedtls/releases/tag/v2.16.7 https://github.com/ARMmbed/mbedtls/releases/tag/v2.23.0 https://nvd.nist.gov/vuln/detail/CVE-2020-36423 https://security-tracker.debian.org/tracker/CVE-2020-36423

Проверьте безопасность своего сайта и почты → Полная проверка домена