Botan — это библиотека шифрования C++. До версии 3.11.1 реализация TLS 1.3 позволяла обрабатывать записи ApplicationData до получения сообщения Finished. Сервер, который пытается обеспечить аутентификацию клиента с помощью сертификатов, может быть обойден клиентом, который полностью опускает сертификат, сертификат сертификата и сообщение завершения и вместо этого отправляет записи данных приложения.
Эта уязвимость исправлена в версии 3.11.1.
Показать оригинальное описание (EN)
Botan is a C++ cryptography library. Prior to version 3.11.1, the TLS 1.3 implementation allowed ApplicationData records to be processed prior to the Finished message being received. A server which is attempting to enforce client authentication via certificates can by bypassed by a client which entirely omits Certificate, CertificateVerify, and the Finished message and instead sends application data records. This vulnerability is fixed in 3.11.1.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Botan_Project Botan
cpe:2.3:a:botan_project:botan:*:*:*:*:*:*:*:*
|
3.0.0
|
<= 3.11.0
|