CVE-2026-42772
Açıklama
Sorun özeti: Paketler sırasız geldiğinde QUIC akış yeniden birleştirme algoritmasının performansı kademeli olarak düşmektedir. En kötü durum senaryosu, alınan akış verileri için tamponda tutulan akış çerçevelerinin sayısıyla orantılı olan kuadratik bir karmaşıklığa sahiptir. Etki özeti: El sıkışmayı tamamlayan uzak bir QUIC eşi, düşük saldırgan bant genişliği ile duyurulan alma penceresi içindeki uyumlu STREAM çerçevelerini kullanarak bağlantı kapsamlı bir CPU baskısı ve potansiyel olarak Hizmet Reddi (DoS) oluşturabilir. CWE: CWE-407: Verimsiz Algoritmik Karmaşıklık Açıklama: OpenSSL, alınan QUIC akış parçalarını çift yönlü bağlı bir liste kullanarak yönetir. Ekleme işlemleri (listenin sonuna) için optimizasyon sağlasa da, mevcut `tail` kısmını hemen takip etmeyen herhangi bir parça için baştan sona doğrusal aramaya geri döner. Bir saldırgan, ofset dizisini manipüle ederek sunucuyu O(n^2) işlem yapmaya zorlayabilir ve QUIC işlemi için aşırı CPU zamanı tüketilmesine neden olabilir. FIPS etkisi: hayır QUIC uygulaması OpenSSL FIPS modül sınırının dışında olduğu için FIPS modülü etkilenmemiştir.
Nasıl düzeltilir
- openssl openssl3.4.8, 3.5.9, 3.6.5, 4.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openssl openssl | 3.4.0 ≤ v < 3.4.8, 3.5.0 ≤ v < 3.5.9, 3.6.0 ≤ v < 3.6.5, 4.0.0 ≤ v < 4.0.3 | 3.4.8, 3.5.9, 3.6.5, 4.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.