ГрамотаИБ ГрамотаИБ

BDU:2022-01625

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3) CVSS 5.300000190734863 · AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Уязвимость функции mbedtls_pkcs12_derivation реализации протоколов TLS и SSL программного обеспечения Mbed TLS, позволяющая нарушителю вызвать отказ в обслуживании

Соответствие зарубежным идентификаторам

CVE-2021-43666

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость функции mbedtls_pkcs12_derivation реализации протоколов TLS и SSL программного обеспечения Mbed TLS связана с ошибками при обработке длины входного пароля. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Способ устранения

Установка обновлений из доверенных источников. Компенсирующие меры: -использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IPS/IDS) для фильтрации и контроля запросов, которые могут позволить нарушителю эксплуатировать уязвимость; -сегментирование сети для изоляции критически важных приложений от внешних сетей (в т.ч. Интернет) Информация от производителя: https://github.com/ARMmbed/mbedtls/pull/5311 https://github.com/ARMmbed/mbedtls/pull/5310 https://github.com/ARMmbed/mbedtls/pull/5155 Для ОСОН ОСнова Оnyx: Обновление программного обеспечения mbedtls до версии 2.28.1-1

Сведения записи

Дата публикации: 30.03.2022
Класс уязвимости: Уязвимость кода
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
ARM LimitedMbed TLSдо 2.16.12Не указана
ARM LimitedMbed TLSдо 2.28.0Не указана
ARM LimitedMbed TLSдо 3.1.0Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.6Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 18.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.