CVE-2026-42772 in OpenSSL
الملخص
بحسب VulDB • 29/09/2026
ملخص المشكلة: تتدهور أداء خوارزمية إعادة تجميع تدفقات QUIC بشكل تدريجي عند وصول الحزم بترتيب غير متسلسل. وفي أسوأ الحالات، تكون التعقيد التربيعي (quadratic complexity) متناسباً مع عدد إطارات التدفق المخزنة في الذاكرة المؤقتة لبيانات التدفق المستلمة.
ملخص الأثر: يمكن لنظير QUIC عن بُعد يكمل مصافحة الاتصال أن يخلق ضغطاً على وحدة المعالجة المركزية محصوراً بالاتصال، وقد يؤدي إلى حجب الخدمة (DoS) باستخدام إطارات STREAM متوافقة مع البروتوكول داخل نافذة الاستلام المعلنة، وذلك بنطاق ترددي منخفض من جانب المهاجم.
CWE: CWE-407: تعقيد خوارزمي غير كفؤ
الوصف: تدير OpenSSL شظايا تدفق QUIC المستلمة باستخدام قائمة مرتبة مزدوجة الاتجاه (doubly-linked list). وعلى الرغم من أنها تحسّن عمليات الإضافة في نهاية القائمة، فإنها تعود إلى بحث خطي من الرأس إلى الذيل لأي شظية لا تتبع مباشرةً `tail` الحالي.
ومن خلال التلاعب بتسلسل إزاحات البيانات (offsets)، يمكن للمهاجم إجبار الخادم على تنفيذ عمليات ذات تعقيد O(n^2)، مما يستهلك وقتاً كبيراً لوحدة المعالجة المركزية في عملية QUIC.
أثر FIPS: لا يوجد لا تتأثر وحدة FIPS لأن تطبيق QUIC يقع خارج حدود وحدة OpenSSL الخاصة بـ FIPS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.