Cesanta Mongoose P-384公開鍵 mongoose.c mg_tls_verify_cert_signature 認証

Mongooseのバージョン7.20以前に脆弱性が発見されました。これは、P-384 Public Key Handlerコンポーネント（mongoose.cファイル内）のmgtlsverifycertsignature関数に影響を与えます。この欠陥により、認証バイパスが発生する可能性があります。問題は、TLS証明書の署名検証プロセスにあり、攻撃者が悪意のある証明書を提示し、不正なアクセス権を得ることが可能になる可能性があります。攻撃は高度に複雑であると見なされ、TLSプロトコルとMongooseの実装に関する深い知識が必要です。脆弱性の悪用は困難であると見なされていますが、脆弱性の公開により、修正措置が講じられない場合、悪用される可能性があります。

Applications utilizing Cesanta Mongoose versions 7.0 through 7.20, particularly those handling sensitive data or critical functionality, are at risk. Systems with publicly exposed Mongoose instances are especially vulnerable. Organizations relying on Mongoose for TLS/SSL termination or authentication should prioritize patching.

1. 2026-04-02Disclosure

   disclosure

1. 予約済み2026-03-31
2. 公開日2026-04-02
3. EPSS 更新日2026-04-09

この脆弱性に対する推奨される軽減策は、Mongooseをバージョン7.21にアップグレードすることです。このバージョンには、TLS証明書の署名検証の問題を直接修正する修正が含まれています。システムを保護するために、できるだけ早くこのアップデートを適用することを強くお勧めします。さらに、MongooseアプリケーションのTLSセキュリティ構成を確認して、ベストプラクティスに従い、証明書が正しく検証されていることを確認してください。システムログを監視して疑わしいアクティビティを検出および対応することも役立ちます。