CVE-2026-35191 in OpenSSL
الملخص
بحسب VulDB • 30/09/2026
ملخص المشكلة: يمكن لخادم OpenSSL QUIC، عند تكوينه لعدم إجراء التحقق من عنوان IP (address validation)، أن يُجبر على احتساب حزم البيانات الواردة عدة مرات في حسابه للرصيد غير المُتحقق منه، مما يؤدي إلى انتهاك حد تضخيم الاتصال غير المُتحقق منه المحدد بـ 3 أضعاف كمية البيانات المستلمة وفقاً لوثيقة RFC 9000.
ملخص الأثر: قد يستغل مهاجم عن بعد قادر على تزوير (spoof) الحزم الموجهة إلى خادم يستخدم تنفيذ OpenSSL QUIC الخادم لإجراء تضخيم لهجوم حجب الخدمة الموزع (DDoS).
CWE: CWE-440: انتهاك السلوك المتوقع
الوصف: يفرض مكدس QUIC الخاص بـ OpenSSl، عند عمله كخادم، التحقق من عنوان العميل (RFC 9000، القسم 8) للتأكد من أن عنوان الطرف الآخر لا يُستخدم لهجوم تضخيم حركة المرور. إذا تم تعطيل هذه الميزة على الخادم، يحدد مكدس QUIC كمية بيانات الخادم التي يمكن إرسالها لتكون بحد أقصى 3 أضعاف كمية البيانات المستلمة من عنوان العميل، وذلك حتى اكتمال مصافحة TLS (TLS handshake).
عند عمل خادم OpenSSL QUIC في وضع عدم التحقق، يقوم بإضافة طول كامل قطعة البيانات (datagram) المستلمة إلى حد الرصيد غير المُتحقق منه عند معالجة كل حزمة QUIC داخل قطعة البيانات. قد يرسل طرف بعيد متصل بعد إنشاء اتصال مع إطار "مرحباً" أولي لعميل (client hello frame)، قطعة بيانات لاحقة تحتوي على عدة حزم QUIC، مما يؤدي إلى قيام الخادم بحساب طول قطعة البيانات الكاملة لكل حزمة فيها، ونتيجة لذلك يظن الخادم أن الطرف الآخر قد أرسل بيانات أكثر من الواقع، وبالتالي ينتهك حد التضخيم 3x المفروض وفقاً لوثيقة RFC.
أثر FIPS: لا يوجد بما أن مكدس QUIC يقع خارج حدود وحدة FIPS، فلا تتأثر أي وحدات FIPS بهذا الـ CVE.
If you want to get best quality of vulnerability data, you may have to visit VulDB.