CVE-2026-5244：Cesanta Mongoose 堆溢出漏洞 (CVSS 7.3)

在 Cesanta Mongoose 的 7.20 及更早版本中发现了一种堆缓冲区溢出漏洞。此漏洞特别影响 mongoose.c 文件中 TLS 1.3 处理程序组件中的 mgtlsrecv_cert 函数。对 pubkey 参数的恶意操作可能触发此溢出。根据 CVSS，此漏洞的严重程度评分为 7.3，表明存在重大风险。远程可利用性意味着攻击者无需本地系统访问即可利用此漏洞。此漏洞的公开披露增加了主动利用的风险。

Applications and services relying on Cesanta Mongoose as a web server, particularly those handling TLS connections, are at risk. This includes IoT devices, embedded systems, and any custom applications utilizing Mongoose's lightweight HTTP server capabilities. Systems with older, unpatched Mongoose installations are particularly vulnerable.

• linux / server:

journalctl -u mongoose | grep -i "tls_recv_cert"

• generic web:

curl -I https://your-mongoose-server/ | grep -i 'Server: Mongoose'

• generic web:

curl -I https://your-mongoose-server/ | grep -i 'TLS 1.3'

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-02Patch

   patch

1. 已保留2026-03-31
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-09

此漏洞的建议缓解措施是将 Cesanta Mongoose 升级到 7.21 版本。此补丁由哈希值 0d882f1b43ff2308b7486a56a9d60cd6dba8a3f1 标识，直接解决了缓冲区溢出的根本原因。为了保护您的系统免受潜在攻击，尽快应用此更新至关重要。应优先考虑此更新，尤其是在 Mongoose 用于处理敏感 TLS 1.3 连接的环境中。有关执行升级的详细说明，请参阅官方 Cesanta 文档。