CVE-2026-45447

Nome do Software Vulnerável e Versões Afetadas OpenSSL versão 4.0 OpenSSL versão 3.6 OpenSSL versão 3.5 OpenSSL versão 3.4 OpenSSL versão 3.0 OpenSSL versão 1.1.1 OpenSSL versão 1.0.2

Description Uma condição de use-after-free ocorre durante a verificação de assinatura PKCS#7 ao processar uma mensagem assinada PKCS#7 ou S/MIME especialmente criada. Se o campo digestAlgorithms do SignedData estiver presente como um SET ASN.1 vazio, a função PKCS7 verify() pode liberar incorretamente um BIO (abstração de Entrada/Saída Básica) pertencente ao chamador. Uma tentativa subsequente do aplicativo de usar ou liberar este BIO via BIO free() leva à corrupção de memória, travamentos do processo ou, potencialmente, execução remota de código. Este problema afeta aplicativos que utilizam as APIs PKCS#7 do OpenSSL, enquanto aqueles que utilizam as APIs CMS não são afetados. Os módulos FIPS nas versões 4.0, 3.6, 3.5, 3.4 e 3.0 não são impactados, pois o código afetado reside fora do limite do módulo FIPS.

Recommendations Atualize o OpenSSL para a versão corrigida mais recente para as versões 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 e 1.0.2. Como medida paliativa temporária, evite usar a função PKCS7 verify() para processar mensagens assinadas PKCS#7 ou S/MIME até que a atualização seja aplicada.