CVE-2026-11404

Nome do Software Vulnerável e Versões Afetadas Cesanta Mongoose versões anteriores a 7.22

Description Uma leitura fora dos limites (out-of-bounds read) existe na função do servidor TLS integrado mg tls server recv hello(). O problema ocorre porque a função utiliza um byte session id len controlado por um invasor, proveniente de um TLS ClientHello, como um índice de buffer sem validá-lo em relação ao comprimento dos dados recebidos. Um invasor remoto não autenticado pode enviar um ClientHello manipulado com um comprimento de ID de sessão excessivo para ler além do buffer de recebimento, resultando no travamento e negação de serviço de serviços HTTPS, MQTTS ou WSS que utilizam MG TLS BUILTIN.

Recommendations Atualizar para a versão 7.22.