CVE-2026-14456

Nome do Software Vulnerável e Versões Afetadas OpenSSL versões 3.5 e posteriores

Description Um servidor OpenSSL QUIC pode alocar e enfileirar novos canais de entrada sem impor um limite ao processar pacotes QUIC Initial válidos para IDs de conexão de destino desconhecidos. O sistema utiliza o Connection-Id do cabeçalho do pacote para localizar uma conexão existente; se nenhuma for encontrada e o tipo de pacote for INITIAL, um novo objeto de canal é alocado e enfileirado para ser aceito pela aplicação local através da função SSL accept(). Se a aplicação não conseguir chamar a função SSL accept() com frequência suficiente, a memória utilizada para esses objetos de canal pode crescer sem limites, potencialmente levando a uma Negação de Serviço ao tornar o listener QUIC indisponível.

Recommendations Atualize o OpenSSL para uma versão que implemente um limite para conexões pendentes. As aplicações podem ajustar o limite padrão de 256 conexões pendentes utilizando a função SSL set value uint().