Cesanta Mongoose P-384 पब्लिक की mongoose.c mg_tls_verify_cert_signature ऑथोराइज़ेशन

Mongoose के संस्करण 7.20 और उससे पहले में एक भेद्यता की पहचान की गई है, जो P-384 पब्लिक की हैंडलर घटक (mongoose.c फ़ाइल) के भीतर mgtlsverifycertsignature फ़ंक्शन को प्रभावित करती है। यह दोष प्राधिकरण को बायपास कर सकता है। समस्या TLS प्रमाणपत्र हस्ताक्षर सत्यापन प्रक्रिया में है, जो एक हमलावर को दुर्भावनापूर्ण प्रमाणपत्र प्रस्तुत करने और अनधिकृत पहुंच प्राप्त करने की अनुमति दे सकती है। हमले को अत्यधिक जटिल माना जाता है और इसके लिए TLS प्रोटोकॉल और Mongoose कार्यान्वयन की गहरी समझ की आवश्यकता होती है। यद्यपि शोषण को कठिन माना जाता है, भेद्यता का सार्वजनिक प्रकटीकरण इंगित करता है कि यदि कोई सुधारात्मक कार्रवाई नहीं की जाती है, तो इसका शोषण किया जा सकता है।

Applications utilizing Cesanta Mongoose versions 7.0 through 7.20, particularly those handling sensitive data or critical functionality, are at risk. Systems with publicly exposed Mongoose instances are especially vulnerable. Organizations relying on Mongoose for TLS/SSL termination or authentication should prioritize patching.

1. 2026-04-02Disclosure

   disclosure

1. आरक्षित2026-03-31
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-09

इस भेद्यता के लिए अनुशंसित शमन Mongoose को संस्करण 7.21 में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो TLS प्रमाणपत्र हस्ताक्षर सत्यापन में समस्या को सीधे संबोधित करता है। अपने सिस्टम को सुरक्षित रखने के लिए इस अपडेट को जल्द से जल्द लागू करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, अपने Mongoose अनुप्रयोगों में TLS सुरक्षा कॉन्फ़िगरेशन की समीक्षा करें ताकि यह सुनिश्चित किया जा सके कि सर्वोत्तम प्रथाओं का पालन किया जा रहा है और प्रमाणपत्रों को सही ढंग से मान्य किया जा रहा है। सिस्टम लॉग की निगरानी करके संदिग्ध गतिविधि का पता लगाना और प्रतिक्रिया देना भी सहायक हो सकता है।