CVE-2022-2576

Eclipse Californium, versões 2.0.0 a 2.7.2

Eclipse Californium, versões 3.0.0 a 3.5.0

O problema ocorre quando um handshake de retomada DTLS recorre a um handshake DTLS completo devido a uma incompatibilidade de parâmetros, sem utilizar um HelloVerifyRequest. Isso pode resultar em amplificação de mensagens, levando potencialmente a ataques DDoS em outros pares, e alta carga de CPU, levando a um ataque DoS no próprio par. O comportamento incorreto é específico para configurações em que os valores de DTLS VERIFY PEERS ON RESUMPTION THRESHOLD são maiores que 0, especialmente quando usados com conjuntos de criptografia baseados em certificados.

Para as versões 2.0.0 a 2.7.2 do Eclipse Californium, considere atualizar para uma versão em que esse problema tenha sido corrigido.

Para as versões 3.0.0 a 3.5.0 do Eclipse Californium, considere atualizar para uma versão em que esse problema tenha sido corrigido.

Como solução temporária, considere definir DTLS VERIFY PEERS ON RESUMPTION THRESHOLD como 0 para evitar o comportamento indesejado, mas esteja ciente das possíveis implicações de segurança dessa alteração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.