CVE-2026-14456 in OpenSSL
الملخص
بحسب VulDB • 13/08/2026
ملخص المشكلة: عندما يعالج خادم OpenSSL QUIC (كائن Listener SSL) حزم Initial صالحة من بروتوكول QUIC لمعرفات اتصال وجهة غير معروفة، فقد يقوم بتخصيص وقنوات جديدة واردة دون فرض أي حد أقصى.
ملخيص التأثير: يمكن لنظير عن بعد قادر على إرسال عدد كبير من حزم Initial إلى مستمع الخادم بسرعة أكبر مما تقبله التطبيقات الاتصالات، أن يتسبب في نمو الذاكرة المخصصة لتخزين حالة كل قناة بشكل غير محدود، مما قد يؤدي إلى جعل مستمع QUIC غير متاح ويسبب انقطاع الخدمة (Denial of Service).
CWE: CWE-770: تخصيص الموارد دون حدود أو تقييد للسرعة (Throttling)
الوصف: تستخدم الدالة التي تعالج حزم QUIC الواردة Connection-Id من رأس الحزمة لإيجاد اتصال موجود (قناة QUIC). إذا لم يتم العثور على اتصال قائم وكانت نوع الحزمة INITIAL، فإن الدالة تعامل الحزمة كاتصال جديد. تقوم بتخصيص كائن قناة جديد وإدراجه في قائمة انتظار حيث ينتظر القبول بواسطة التطبيق المحلي باستخدام SSL_accept(3ossl). قد تنمو الذاكرة المشغولة بهذه الكائنات الأولية للقنوات بشكل غير محدود إذا لم يكن التطبيق قادرًا على استدعاء SSL_accept() بتردد كافٍ لخدمة طلبات الاتصال الواردة هذه.
توجد المشكلة منذ OpenSSL 3.5 عند إضافة تنفيذ خادم QUIC.
يُدخل الإصلاح حداً للصالات المعلقة (pending connections). يتم تعيين الحد الافتراضي إلى 256 اتصالاً معلقاً (في انتظار القبول من قبل التطبيق المحلي). يمكن للتطبيقات تغيير القيمة الافتراضية عن طريق استدعاء SSL_set_value_uint(3ossl).
تأثير FIPS: لا لا يتأثر وحدة FIPS حيث أن تنفيذ QUIC يقع خارج حدود وحدة OpenSSL FIPS.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.