PT-2026-47844
CVE-2026-45447
·
تاريخ النشر
2026-04-27
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
OpenSSL الإصدار 4.0
OpenSSL الإصدار 3.6
OpenSSL الإصدار 3.5
OpenSSL الإصدار 3.4
OpenSSL الإصدار 3.0
OpenSSL الإصدار 1.1.1
OpenSSL الإصدار 1.0.2
الوصف
تحدث حالة ”الاستخدام بعد التحرير“ (use-after-free) أثناء التحقق من التوقيع PKCS#7 عند معالجة رسالة موقعة بـ PKCS#7 أو S/MIME مصممة خصيصًا. إذا كان حقل
SignedData digestAlgorithms موجودًا كمجموعة ASN.1 فارغة (SET)، فقد تقوم الدالة PKCS7 verify() بتحرير BIO (تجريد الإدخال/الإخراج الأساسي) مملوك للمتصل بشكل غير صحيح. وتؤدي أي محاولة لاحقة من قبل التطبيق لاستخدام أو تحرير هذا الكائن BIO عبر الدالة BIO free() إلى تلف الذاكرة، أو تعطل العملية، أو احتمال تنفيذ تعليمات برمجية عن بُعد. تؤثر هذه المشكلة على التطبيقات التي تستخدم واجهات برمجة تطبيقات (APIs) OpenSSL PKCS#7، في حين أن التطبيقات التي تستخدم واجهات برمجة تطبيقات CMS لا تتأثر بها. لا تتأثر وحدات FIPS في الإصدارات 4.0 و3.6 و3.5 و3.4 و3.0 لأن الكود المتأثر يقع خارج حدود وحدة FIPS.التوصيات
قم بتحديث OpenSSL إلى أحدث إصدار تم تصحيحه للإصدارات 4.0 و3.6 و3.5 و3.4 و3.0 و1.1.1 و1.0.2.
كحل مؤقت، تجنب استخدام الدالة
PKCS7 verify() لمعالجة الرسائل الموقعة بـ PKCS#7 أو S/MIME حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾