CVE-2026-73260 Lectura fuera de límites en el parser DER X.509 de TLS integrado en Mongoose

Qué es CVE-2026-73260

El parser de certificados TLS con MG_TLS_BUILTIN no verifica que la longitud de un elemento DER de forma larga quepa en el búfer restante del certificado. Un servidor TLS malicioso no autenticado, o un cliente que presenta un certificado a un servidor con certificados de cliente, puede provocar lectura fuera de límites y denegación de servicio durante el handshake. Corregido en 7.23.

Productos y versiones afectadas

• cesanta mongoose

  • < 7.23

Qué hacer

1. Verificá si usás mongoose y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Mongoose is an embedded web server and network library. Prior to 7.23, the built-in TLS certificate parser selected by MG_TLS_BUILTIN fails to verify that a long-form DER element length fits within the remaining certificate buffer. In mg_der_to_tlv() and mg_der_next(), a peer-controlled length can advance the parser beyond the certificate and underflow the remaining uint32_t length, causing mg_tls_parse_cert_der() to continue walking an invalid pointer. An unauthenticated malicious TLS server, or a client presenting a certificate to a server configured for client certificates, can trigger an out-of-bounds read and denial of service during the handshake. This issue is fixed in version 7.23.

Referencias

• github.com/cesanta/mongoose/security/advisories/GHSA-f6wr-mg35-p25gX_REFSOURCE_CONFIRM
• github.com/cesanta/mongoose/commit/a8b4ae95db3c2db85e5ad9db3fefaeebb5f7b43eX_REFSOURCE_MISC
• github.com/cesanta/mongoose/releases/tag/7.23X_REFSOURCE_MISC

Historial de la alerta

1. 14 OCT · 17:12VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.