‹ Volver al listado

CVE-2026-73252

Estado: AplazadaAlta (7.5)—
Gravedad7.5Alta · CVSS 3.1
Probabilidad de explotación0.38 %mayor que el 30 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Mongoose es un servidor web embebido y una biblioteca de red. Antes de la versión 7.23, la pila TLS integrada seleccionada por MG_TLS_BUILTIN en src/tls_builtin.c acepta un registro TLS 1.3 cuyo tamaño descifrado es exactamente la etiqueta de autenticación de 16 bytes, sin ningún byte de texto plano ni de ContentType.

Leer descripción completaMostrar menos

En mg_tls_recv_record(), la comprobación de longitud msgsz permite ese registro y el cálculo de recv_len produce un desbordamiento por defecto (underflow) hasta SIZE_MAX, de modo que un paso posterior del protocolo de enlace trata el contenido obsoleto del búfer como un mensaje de confianza con una longitud efectivamente ilimitada. Un par TLS malicioso no autenticado puede provocar una lectura fuera de límites en el montículo (heap) antes de la validación del certificado o del mensaje Finished, lo que causa una denegación de servicio remota. Este problema está corregido en la versión 7.23.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
7.5
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.38 %
Percentil entre todas las CVEs puntuadas
30
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N: un par TLS malicioso sin autenticación provoca una lectura fuera de límites en heap y denegación de servicio remota (A:H).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Cesanta — MongooseAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-73252",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-73252",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T19:41:34.958467Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "cesanta",
          "product": "mongoose",
          "versions": [
            {
              "status": "affected",
              "version": "< 7.23"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-14T19:17:19.667",
  "references": [
    {
      "url": "https://github.com/cesanta/mongoose/commit/758e301f0c9a9885c1b716195df5fe6d6ac9d53e",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/cesanta/mongoose/releases/tag/7.23",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/cesanta/mongoose/security/advisories/GHSA-hq58-98f5-2wg3",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/cesanta/mongoose/security/advisories/GHSA-hq58-98f5-2wg3",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-125"
        },
        {
          "lang": "en",
          "value": "CWE-191"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Mongoose is an embedded web server and network library. Prior to 7.23, the built-in TLS stack selected by MG_TLS_BUILTIN in src/tls_builtin.c accepts a TLS 1.3 record whose decrypted size is exactly the 16-byte authentication tag with no plaintext or ContentType byte. In mg_tls_recv_record(), the msgsz length check permits that record and the recv_len calculation underflows to SIZE_MAX, so a later handshake step treats stale buffer contents as a trusted message with an effectively unbounded length. An unauthenticated malicious TLS peer can trigger a heap out-of-bounds read before certificate or Finished validation, causing a remote denial of service. This issue is fixed in version 7.23."
    }
  ],
  "lastModified": "2026-10-16T20:04:29.760",
  "sourceIdentifier": "security-advisories@github.com"
}