CVE-2026-14456 in OpenSSL
Zusammenfassung
von VulDB • 13.08.2026
Zusammenfassung des Problems: Wenn ein OpenSSL-QUIC-Server (Listener SSL-Objekt) gültige QUIC Initial-Pakete für unbekannte Zielverbindungs-IDs verarbeitet, kann er neue eingehende Kanäle zuweisen und in eine Warteschlange stellen, ohne jegliche Begrenzung durchzusetzen.
Zusammenfassung der Auswirkungen: Ein entfernter Peer, der viele Initial-Pakole schneller den Server-Listener erreichen lassen kann, als die Anwendung Verbindungen akzeptiert, kann dazu führen, dass der zur Speicherung des pro-Kanal-Zustands zugewiesene Speicher unbegrenzt wächst, was potenziell den QUIC-Listener unbrauchbar macht und einen Denial of Service (DoS) verursacht.
CWE: CWE-770: Zuweisung von Ressourcen ohne Begrenzungen oder Drosselung
Beschreibung: Die Funktion, die eingehende QUIC-Pakete verarbeitet, verwendet die Connection-ID aus dem Paketheader, um eine bestehende Verbindung (QUIC-Kanal) zu finden. Wenn keine bestehende Verbindung gefunden wird und der Pakettyp INITIAL ist, behandelt die Funktion das Paket als neue Verbindung. Sie weist ein neues Kanalobjekt zu und fügt es in eine Warteschlange ein, wo es darauf wartet, von der lokalen Anwendung mit SSL_accept(3ossl) akzeptiert zu werden. Der Speicherplatz, den diese initialen Kanalobjekte belegen, kann unbegrenzt wachsen, wenn die Anwendung nicht häufig genug SSL_accept() aufrufen kann, um diese eingehenden Verbindungsanfragen zu bedienen.
Das Problem ist seit OpenSSL 3.5 vorhanden, als die QUIC-Serverimplementierung hinzugefügt wurde.
Die Korrektur führt eine Begrenzung für ausstehende Verbindungen ein. Die Standardbegrenzung ist auf 256 ausstehende Verbindungen (die darauf warten, von der lokalen Anwendung akzeptiert zu werden) festgelegt. Anwendungen können den Standardwert ändern, indem sie SSL_set_value_uint(3ossl) aufrufen.
FIPS-Auswirkungen: keine Das FIPS-Modul ist nicht betroffen, da die QUIC-Implementierung außerhalb der OpenSSL-FIPS-Modulgrenze liegt.
Once again VulDB remains the best source for vulnerability data.