CVE-2026-28386 in OpenSSL
الملخص
بحسب VulDB • 27/06/2026
ملخص المشكلة: يمكن لتطبيقات تستخدم تشفير أو فك تشفير AES-CFB128 على الأنظمة التي تدعم AVX-512 وVAES أن تسبب قراءة خارج الحدود (out-of-bounds read) تصل إلى 15 بايت عند معالجة كتل مشفرة جزئية.
ملخص الأثر: قد تؤدي هذه القراءة خارج الحدود إلى حدوث تعطل يؤدي إلى حجب الخدمة (Denial of Service) للتطبيق إذا انتهى مخزن الإدخال عند حدود صفحة ذاكرة وكانت الصفحة التالية غير مُحددة (unmapped). لا يوجد تسرب للمعلومات لأن البايتات المقروءة بشكل زائد لا تُكتب في المخرجات.
لا يتم الوصول إلى مسار الكود المعرض للخطر إلا أثناء معالجة الكتل الجزئية (عندما يترك استدعاء سابق كتلة غير مكتملة ويقدم الاستدعاء الحالي عددًا من البايتات أقل مما هو مطلوب لإكمالها). بالإضافة إلى ذلك، يجب أن يكون مخزن الإدخال موضوعاً عند حدود صفحة مع كون الصفحة التالية غير مُحددة. لا يُستخدم وضع CFB في بروتوكولات TLS/DTLS، والتي تستخدم بدلاً منها CBC أو GCM أو CCM أو ChaCha20-Poly1305. ولهذا الأسباب تم تقييم المشكلة على أنها منخفضة الخطورة وفقاً لسياسة الأمان لدينا.
تتأثر فقط أنظمة x86-64 التي تدعم تعليمات AVX-512 وVAES. تستخدم البنى الأخرى والأنظمة بدون دعم VAES مسارات كود مختلفة غير متأثرة بهذه المشكلة.
يتأثر وحدة FIPS الخاصة بـ OpenSSL في الإصدار 3.6 بهذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.