CVE-2026-42764
Təsvir
Problemin xülasəsi: ünvan təsdiqləməsi deaktiv edilmiş OpenSSL QUIC serverində etibarsız token ehtiva edən QUIC başlanğıc paketinin alınması NULL göstəricisinin istifadəsinə (NULL pointer dereference) səbəb ola bilər. Təsirin xülasəsi: NULL göstəricisinin istifadəsi adətən təsirlənmiş QUIC server prosesinin anormal şəkildə sonlanmasına və Xidmətdən imtinaya (DoS) səbəb olur. OpenSSL QUIC server tətbiqində ünvan təsdiqləməsi deaktiv edilibsə, hücumçu etibarsız və ya vaxtı keçmiş tokenli başlanğıc paket göndərməklə serveri sıradan çıxara bilər. OpenSSL QUIC server tətbiqində standart olaraq klient ünvanının təsdiqləməsi aktivdir, bu da standart konfiqurasiyanı həmin problemə qarşı dözümlü edir. Lakin `SSL_new_listener()` çağırışı ilə `SSL_LISTENER_FLAG_NO_VALIDATE` istifadə edilərsə, ünvan təsdiqləməsi deaktiv edilir və zəiflik olan koda giriş mümkün olur. 4.0, 3.6, 3.5, 3.4 və 3.0 versiyalarındakı FIPS modulları bu problemdən təsirlənmir, çünki təsirlənən kod OpenSSL FIPS modulunun sərhədlərindən kənardadır.
Necə düzəltmək olar
- openssl openssl3.5.7, 3.6.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openssl openssl | 3.5.0 ≤ v < 3.5.7, 3.6.0 ≤ v < 3.6.3, 4.0.0 | 3.5.7, 3.6.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.