BDU:2023-06434
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8) CVSS 9.800000190734863 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HУязвимость реализации протоколов TLS и SSL программного обеспечения Mbed TLS, позволяющая нарушителю выполнить произвольный код
Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →
Описание
Уязвимость реализации протоколов TLS и SSL программного обеспечения Mbed TLS связана с возможностью переполнения буфера на основе кучи. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код, путём отправки специально сформированного открытого ECDH или FFDH ключей
Способ устранения
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование конфигурации по умолчанию (mbed TLS 2.28 не затрагивается); - использование сборки TLS 1.2, поддерживающей RSA или FFDH с ключами размером не менее 2048 бит в дополнение к ECDH (сборка TLS 1.3 остается затронутой). Использование рекомендаций производителя: Для Mbed TLS: https://mbed-tls.readthedocs.io/en/latest/security-advisories/mbedtls-security-advisory-2023-10-2/ Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2023-45199
Сведения записи
Уязвимое программное обеспечение
| Производитель | Название | Версия | Платформа |
|---|---|---|---|
| ARM Limited | Mbed TLS | до 3.2.0 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 10 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 11 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 12 | Не указана |
Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →
Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.