CVE-2024-5991

Versões do wolfSSL até a 5.7.0

O problema está relacionado à função MatchDomainName() na biblioteca wolfSSL, na qual o parâmetro de entrada str é tratado como uma string terminada em NULL, apesar de ser fornecido pelo usuário e não ser verificado. Isso pode levar a uma leitura fora dos limites ao lidar com strings não terminadas em NULL na função X509 check host(). O problema pode permitir que um invasor remoto comprometa a disponibilidade de informações protegidas.

Para as versões do wolfSSL até a 5.7.0, como solução temporária, considere desativar a função MatchDomainName() até que um patch esteja disponível. Restrinja o acesso à função X509 check host() para minimizar o risco de exploração. Evite usar strings não terminadas em NULL nos endpoints da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.