CVE-2026-35191 in OpenSSL
Zusammenfassung
von VulDB • 30.09.2026
Zusammenfassung des Problems: Der OpenSSL-QUIC-Server kann, wenn er so konfiguriert ist, dass keine Adressvalidierung durchgeführt wird, dazu gezwungen werden, eingehende Pakete in seiner ungültigen Gutschriftsberechnung mehrfach zu zählen. Dies führt zu einer Verletzung der RFC 9000-Vorschrift zur Begrenzung der unbestätigten Verbindungs-Amplifikation auf das Dreifache der empfangenen Datenmenge.
Zusammenfassung der Auswirkungen: Ein entfernter Angreifer, in der Lage ist, Pakete an einen Server mit der OpenSSL-QUIC-Implementierung zu spoofen (zu fälschen), könnte den Server für eine Amplifizierung eines DDoS-Angriffs nutzen.
CWE: CWE-440: Verletzung des erwarteten Verhaltens
Beschreibung: Der QUIC-Stack von OpenSSL erzwingt als Server die Adressvalidierung des Clients (RFC 9000, Abschnitt 8), um zu bestätigen, dass die Peer-Adresse nicht für einen Traffic-Amplifizierungsangriff verwendet wird. Wenn diese Funktion auf dem Server deaktiviert ist, begrenzt der QUIC-Stack die Menge an Serverdaten, die an die Peer-Adresse gesendet werden können, auf das Dreifache der von dieser empfangenen Datenmenge, bis der TLS-Handshake abgeschlossen ist.
Der OpenSSL-QUIC-Server fügt in einem Modus ohne Validierung bei der Verarbeitung jedes QUIC-Pakets im Datagramm die Länge des gesamten erhaltenen Datagramms zur ungültigen Gutschriftsgrenze hinzu. Ein entfernter Peer kann nach dem Herstellen einer Verbindung mit einem initialen Client-Hello-Frame ein anschließendes Datagramm senden, das mehrere QUIC-Pakete enthält. Dies führt dazu, dass der Server die gesamte Datagrammlänge für jedes Paket im Datagramm anrechnet, wodurch der Server fälschlicherweise annimmt, der Peer habe mehr Daten gesendet als tatsächlich geschehen ist. Dadurch wird die vom RFC vorgeschriebene 3x-Amplifizierungsgrenze verletzt.
FIPS-Auswirkungen: keine Da sich der QUIC-Stack außerhalb der FIPS-Modulgrenze befindet, sind keine FIPS-Module von diesem CVE betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.