BDU:2024-07276 (CVE-2024-5991) — уязвимость функции MatchDomainName() библиотеки SSL/TLS WolfSSL

По данным БДУ ФСТЭК России, по состоянию на 20.09.2024.

Высокий — 7.5/10 Устранена

Уязвимость функции MatchDomainName() библиотеки SSL/TLS WolfSSL связана с выходом операции за границы буфера в памяти в результате некорректной проверки указателей при обработке параметра str. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на доступность защищаемой информации

Кого касается и что делать

Уязвимое ПО: WolfSSL (Todd Ouska) — версии до 5.7.2
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com

Сведения об уязвимости

Идентификаторы	BDU:2024-07276 · CVE-2024-5991
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость функции MatchDomainName() библиотеки SSL/TLS WolfSSL, позволяющая нарушителю оказать влияние на доступность защищаемой информации
Даты	Опубликована: 20.09.2024 · Обновлена ФСТЭК: 20.09.2024 · Выявлена: 31.05.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-125 — чтение за границами буфера; CWE-476 — разыменование указателя NULL
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных