CVE-2026-73261 Lectura fuera de límites en handle_opt() de Mongoose que corrompe el MSS de TCP

Qué es CVE-2026-73261

La pila TCP/IP integrada con MG_ENABLE_TCPIP no rechaza una opción TCP cuya longitud declarada en opts[1] excede los bytes restantes. Un par remoto no autenticado puede corromper el MSS por conexión y hacer que mg_send() transmita payloads truncados o vacíos mientras la conexión parece sana. Corregido en 7.23.

Productos y versiones afectadas

• cesanta mongoose

  • < 7.23

Qué hacer

1. Verificá si usás mongoose y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Mongoose is an embedded web server and network library. Prior to 7.23, the built-in TCP/IP stack enabled by MG_ENABLE_TCPIP in src/net_builtin.c does not reject a TCP option whose declared opts[1] length exceeds the remaining option bytes. In handle_opt(), a NOP followed by a truncated MSS option causes opts[3] to be read outside the declared options area and used as the low byte of dmss. An unauthenticated remote peer can corrupt the per-connection MSS value so later mg_send() calls transmit truncated or zero-length application payloads while the TCP connection otherwise appears healthy. This issue is fixed in version 7.23.

Referencias

• github.com/cesanta/mongoose/security/advisories/GHSA-3fmr-92g4-wchxX_REFSOURCE_CONFIRM
• github.com/cesanta/mongoose/commit/cc7c6d2d18c28fcc6d085633dddd88402946140aX_REFSOURCE_MISC
• github.com/cesanta/mongoose/releases/tag/7.23X_REFSOURCE_MISC

Historial de la alerta

1. 14 OCT · 17:12VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.