p PatchFirst

CVE-2026-73253

CVE-2026-73253 · Mongoose: TLS Hostname Verification Bypass via Overly Permissive Wildcard Matching

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Mongoose is an embedded web server and network library. Prior to version 7.22, an on-path network attacker with a wildcard certificate for a parent domain can impersonate deeper subdomains to a client using the built-in TLS stack. The mg_tls_verify_cert_san() and mg_tls_verify_cert_cn() functions in src/tls_builtin.c call mg_match(), whose wildcard can cross DNS label boundaries, so a pattern such as *.example.com can match foo.bar.example.com. The resulting hostname verification bypass permits interception and modification of TLS traffic. This issue is fixed in version 7.22.

CVSS 9.1 · Critique · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • mongoose

    Versions du logiciel
    • < 7.22: Concernée

    Aucun correctif publié

  • mongoose Debian:14

    Versions du logiciel
    • 7.21+ds-1
    • 7.21+ds-1~bpo13+1
    • 7.21+ds-2
    • 7.22+ds-1~bpo13+1
    Plages de versions concernées
    • ECOSYSTEM: < 7.22+ds-1

    Mettez à jour vers 7.22+ds-1

  • mongoose Ubuntu:26.10

    Versions du logiciel
    • 7.21+ds-1
    • 7.21+ds-2
    • 7.22+ds-1
    • 7.23+ds-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →