CVE-2026-16317

Nome do Software Vulnerável e Versões Afetadas s2n-tls versões anteriores a v1.7.6

Description A falta de validação do byte content type externo em registros criptografados TLS 1.3 permite que um atacante man-in-the-middle ativo descarte silenciosamente registros individuais de dados de aplicativo sem que qualquer extremidade detecte a modificação. A implementação AEAD (Authenticated Encryption with Associated Data) do s2n-tls codifica rigidamente o valor do content type nos dados autenticados adicionais em vez de usar o byte real do fio, fazendo com que o content type externo não seja coberto pela tag de autenticação. Isso permite a supressão seletiva de dados de aplicativo. Em cenários de pipelining HTTP, a exclusão de um registro TLS contendo uma requisição HTTP pode causar dessincronização entre requisição e resposta. Em cargas de trabalho com muitas gravações, um registro descartado contendo uma requisição de gravação pode resultar em perda de dados indetectável quando o cliente interpreta uma resposta de sucesso subsequente como confirmação da gravação descartada.

Recommendations Atualize para a versão v1.7.6.