CVE-2026-54874

Problemin xülasəsi: Handshake prosesi davam edərkən gələcək epox üçün DTLS yazısının (record) alınması, OpenSSL-in həmin yazıya tələb olunan yaddaşdan daha çoxunu buferləşdirməsinə səbəb olur. Təsirin xülasəsi: Qarşı tərəf az miqdarda şəbəkə trafikindən istifadə edərək OpenSSL DTLS son nöqtəsinin mütənasib olmayan şəkildə böyük həcmdə yaddaş saxlamasını təmin edə bilər ki, bu da Xidmətdən imtinaya (Denial of Service) səbəb ola bilər. CWE: CWE-405: Asymmetric Resource Consumption (Amplification) Təsvir: DTLS handshake prosesi davam etdiyi zaman qarşı tərəf, yerli son nöqtə hələ eyni keçidi emal etməmişdən əvvəl, legitim şəkildə artıq növbəti epoxa keçmiş ola bilər (məsələn, ChangeCipherSpec və Finished mesajlarını göndərdikdən sonra); bu, adətən alt UDP transportunda paketlərin sırasının dəyişməsi səbəbindən baş verir. OpenSSL belə erkən yazıları buferləşdirir ki, yerli son nöqtə lazımi mərhələyə çatdıqda onlar emal edilə bilsin. Hazırda bir yazının buferlənməsi yalnız yazını təşkil edən baytları deyil, onun daxil olduğu bütün oxuma buferini saxlayır və bu bufer ən böyük mümkün DTLS yazısını (təxminən 16 kilobayt) tutacaq şəkildə ölçülmüşdür. Hər bağlantı üzrə belə yazıların 100-nə qədəri buferlənə bilər. Nəticə etibarilə, növbəti epoxa aid olduğunu iddia edən kiçik saxta yazıların axınını göndərən qarşı tərəf, şəbəkə vasitəsilə cəmi kiçik bir hissə məlumat göndərməsinə baxmayaraq, OpenSSL DTLS son nöqtəsinin təxminən 1.7 meqabayt yaddaş saxlamasına səbəb ola bilər. Beləliklə, hücumçu təxminən 1200 ətrafında yaddaş gücləndirmə faktoru əldə edir və bu effekti aça bildiyi bütün assosiasiyalar boyunca çoxalda bilir ki, bu da DTLS serverləri üçün uzaqdan yaddaşın tükənilməsi ilə nəticələnən Xidmətdən imtina riski yaradır. Bağlantı başına saxlanılan yaddaş məhdud olduğu və tətbiqin eyni vaxtda mövcud olan assosiasiyaların sayına qoyduğu hər hansı məhdudiyyət ümumi təsiri də məhdudlaşdırdığı üçün bu problem Aşağı (Low) kritiklik dərəcəsi ilə qiymətləndirilmişdir. FIPS təsiri: yoxdur Təsirə məruz qalan kod OpenSSL FIPS modulunun sərhədlərindən kənarda olduğu üçün heç bir FIPS modulu bu problemdən təsirlənmir. OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 və 1.0.2 versiyaları bu problemə qarşı həssasdır. OpenSSL 4.0 istifadəçiləri OpenSSL 4.0.2 versiyasına yüksəltməlidirlər. OpenSSL 3.6 istifadəçiləri OpenSSL 3.6.4 versiyasına yüksəltməlidirlər. OpenSSL 3.5 istifadəçiləri OpenSSL 3.5.8 versiyasına yüksəltməlidirlər. OpenSSL 3.4 istifadəçiləri OpenSSL 3.4.7 versiyasına yüksəltməlidirlər. OpenSSL 3.0 istifadəçiləri OpenSSL 3.0.22 versiyasına yüksəltməlidirlər. Yalnız premium dəstək müştəriləri üçün: OpenSSL 1.1.1 istifadəçiləri OpenSSL 1.1.1zi versiyasına yüksəltməlidirlər. OpenSSL 1.0.2 istifadəçiləri OpenSSL 1.0.2zr versiyasına yüksəltməlidirlər. Bu problem 18 may 2026-cı il tarixində Amazon Web Services tərəfindən bildirilmişdir. Düzəliş Matt Caswell tərəfindən hazırlanmışdır.