PT-2026-71607
CVE-2026-14456
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenSSL 3.5 والإصدارات الأحدث
الوصف
يمكن لخادم OpenSSL QUIC تخصيص قنوات واردة جديدة ووضعها في قائمة الانتظار دون فرض أي حد عند معالجة حزم QUIC الأولية الصالحة لمعرفات اتصال الوجهة غير المعروفة. يستخدم النظام
Connection-Id الموجود في رأس الحزمة لتحديد موقع اتصال موجود؛ وإذا لم يتم العثور على أي اتصال وكان نوع الحزمة هو INITIAL، يتم تخصيص كائن قناة جديد ووضعه في قائمة الانتظار ليتم قبوله من قبل التطبيق المحلي عبر الدالة SSL accept(). إذا لم يتمكن التطبيق من استدعاء SSL accept() بوتيرة كافية، فقد تزداد الذاكرة المستخدمة لهذه الكائنات القنواتية بلا حدود، مما قد يؤدي إلى حدوث هجوم رفض الخدمة (DoS) عن طريق جعل مستمع QUIC غير متاح.التوصيات
تحديث OpenSSL إلى إصدار يطبق حدًا أقصى لعدد الاتصالات المعلقة.
يمكن للتطبيقات تعديل الحد الافتراضي البالغ 256 اتصالًا معلقًا باستخدام الدالة
SSL set value uint().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾