ARMmbed/mbedtls项目发布Mbed TLS 2.28.10版本解析
Mbed TLS是一个开源的SSL/TLS加密库,由ARM公司旗下的mbed团队维护。它为嵌入式系统提供了SSL/TLS功能实现,具有模块化设计、低内存占用等特点,广泛应用于物联网设备、嵌入式系统等资源受限环境。Mbed TLS实现了SSL/TLS协议、加密算法、X.509证书处理等核心功能,是构建安全通信的重要基础组件。
版本概述
Mbed TLS 2.28.10是2.28长期支持(LTS)分支的最后一个版本,这意味着该版本之后将不再接收任何错误修复或安全更新。开发团队建议用户尽快升级到受支持的维护版本。
重要安全更新
本次发布修复了两个重要的安全问题:
-
TLS握手过程中的潜在认证问题:在TLS 1.2握手阶段,当计算Finished消息时如果发生内存分配失败或加密硬件故障,可能导致Finished消息计算错误,破坏TLS握手的安全保证。该问题被分配为CVE-2025-27810。
-
TLS客户端主机名验证问题:当TLS客户端未调用mbedtls_ssl_set_hostname()函数时,如果尝试基于证书的服务器认证,可能存在服务器冒充风险。新版本默认情况下会阻止此类握手,并返回MBEDTLS_ERR_SSL_CERTIFICATE_VERIFICATION_WITHOUT_HOSTNAME错误。该问题被追踪为CVE-2025-27809。
默认行为变更
新版本对TLS客户端行为做了重要调整:
-
如果未调用mbedtls_ssl_set_hostname(),且尝试进行基于证书的服务器认证,mbedtls_ssl_handshake()现在会失败并返回特定错误码。这是出于安全考虑,因为在不知道预期主机名的情况下认证服务器通常是不安全的。
-
开发者可以通过两种方式恢复旧行为:调用mbedtls_ssl_set_hostname()时传入NULL作为主机名,或者启用新的编译选项MBEDTLS_SSL_CLI_ALLOW_WEAK_CERTIFICATE_VERIFICATION_WITHOUT_HOSTNAME。
-
ssl->hostname字段的内容在mbedtls_ssl_set_hostname(ssl, NULL)调用后发生了变化,开发者应参考mbedtls_ssl_context结构类型的文档了解详情。
其他改进与修复
-
内存安全增强:清零PSA操作中使用的临时堆缓冲区,防止敏感信息残留。
-
网络功能修复:在mbedtls_net_bind和mbedtls_net_connect中使用mbedtls_net_close替代close,防止可能的文件描述符重复关闭问题。
-
跨平台兼容性:
- 修复了MS-DOS DJGPP平台上的编译问题
- 修复了Visual Studio 2013和MinGW环境下SSL调试启用时的运行时崩溃问题
- 移除了Everest Visual Studio 2010兼容头文件,避免与标准CRT头文件冲突
-
加密算法优化:修复了GCC类编译器为通用x86_64目标构建AES时AES-NI内联汇编的约束问题,该问题可能导致某些编译器优化后生成错误代码。
-
密钥派生功能修复:修正了psa_key_derivation_input_integer()在操作中止后未检测错误状态的问题。
升级建议
考虑到2.28 LTS分支即将结束支持周期,所有用户都应尽快规划升级到受支持的维护版本。对于必须暂时使用2.28.10版本的用户,建议:
- 仔细评估安全更新中提到的两个问题对自身应用的影响
- 检查所有TLS客户端代码是否已正确设置主机名验证
- 在资源允许的情况下启用额外的安全编译选项
- 监控项目后续的安全公告,及时获取升级信息
Mbed TLS作为安全通信的基础组件,其版本更新应纳入企业的安全更新管理流程。开发团队应评估新版本对现有系统的影响,制定合理的升级计划,确保系统安全性的持续提升。
PaddleOCR-VLPaddleOCR-VL 是一款顶尖且资源高效的文档解析专用模型。其核心组件为 PaddleOCR-VL-0.9B,这是一款精简却功能强大的视觉语言模型(VLM)。该模型融合了 NaViT 风格的动态分辨率视觉编码器与 ERNIE-4.5-0.3B 语言模型,可实现精准的元素识别。Python00- DDeepSeek-OCR暂无简介Python00
openPangu-Ultra-MoE-718B-V1.1昇腾原生的开源盘古 Ultra-MoE-718B-V1.1 语言模型Python00
HunyuanWorld-Mirror混元3D世界重建模型,支持多模态先验注入和多任务统一输出Python00
AI内容魔方AI内容专区,汇集全球AI开源项目,集结模块、可组合的内容,致力于分享、交流。03
Spark-Scilit-X1-13BFLYTEK Spark Scilit-X1-13B is based on the latest generation of iFLYTEK Foundation Model, and has been trained on multiple core tasks derived from scientific literature. As a large language model tailored for academic research scenarios, it has shown excellent performance in Paper Assisted Reading, Academic Translation, English Polishing, and Review Generation, aiming to provide efficient and accurate intelligent assistance for researchers, faculty members, and students.Python00
GOT-OCR-2.0-hf阶跃星辰StepFun推出的GOT-OCR-2.0-hf是一款强大的多语言OCR开源模型,支持从普通文档到复杂场景的文字识别。它能精准处理表格、图表、数学公式、几何图形甚至乐谱等特殊内容,输出结果可通过第三方工具渲染成多种格式。模型支持1024×1024高分辨率输入,具备多页批量处理、动态分块识别和交互式区域选择等创新功能,用户可通过坐标或颜色指定识别区域。基于Apache 2.0协议开源,提供Hugging Face演示和完整代码,适用于学术研究到工业应用的广泛场景,为OCR领域带来突破性解决方案。00- HHowToCook程序员在家做饭方法指南。Programmer's guide about how to cook at home (Chinese only).Dockerfile013
Spark-Chemistry-X1-13B科大讯飞星火化学-X1-13B (iFLYTEK Spark Chemistry-X1-13B) 是一款专为化学领域优化的大语言模型。它由星火-X1 (Spark-X1) 基础模型微调而来,在化学知识问答、分子性质预测、化学名称转换和科学推理方面展现出强大的能力,同时保持了强大的通用语言理解与生成能力。Python00- PpathwayPathway is an open framework for high-throughput and low-latency real-time data processing.Python00