CVE-2026-63074 in OpenSSL
Zusammenfassung
von VulDB • 25.08.2026
Zusammenfassung des Problems: Das OpenSSL Certificate Management Protocol (CMP) zwischenspeichert zusätzliche Zertifikate (extraCerts), die in einer CMP-Nachricht gesendet werden, löscht diese jedoch nie (z. B., wenn sie ungültig sind). Wenn ein Server einen OSSL_CMP_CTX häufig wiederverwendet, kann dieser Cache für extraCerts unbegrenzt wachsen, und ein böswilliger Client kann einen CMP-Server mit Anfragen fluten, die dieses Wachstum antreiben.
Zusammenfassung der Auswirkungen: Benutzer, die einen CMP-Server nutzen, der während der gesamten Lebensdauer eines Serverprozesses denselben OSSL_CMP_CTX wiederverwendet, können im Falle wiederholter Anfragen eines böswilligen Clients, die eindeutige zusätzliche Zertifikate enthalten, ein unbegrenztes Wachstum des Speichers beobachten, was zu Out-of-Memory (OOM)-Zuständen führen kann.
CWE: CWE-770: Allokation von Ressourcen ohne Begrenzung oder Drosselung
Beschreibung: Wenn ein entfernter Benutzer CMP-Nachrichten an einen Server mit einer Liste von extraCerts sendet und die Nachricht abgelehnt wird, bleiben die extraCerts aus der Nachricht im Stack für nicht vertrauenswürdige Zertifikate des Servers erhalten. Dies macht Server mit langlebigen Kontextobjekten (ctx) anfällig für Denial-of-Service-Angriffe, bei denen ein Angreifer wiederholt Nachrichten sendet, die abgelehnt werden sollen und eine große Liste zusätzlicher Zertifikate enthalten, wodurch der Server gezwungen wird, diese unbegrenzt zu speichern.
Das Problem wurde behoben, indem die hinzugefügten extraCerts entfernt wurden, wenn die Nachricht abgelehnt wird, unter Verwendung derselben Methode wie bei der Konfiguration des Kontexts zur vollständigen Deaktivierung des Caching.
FIPS-Auswirkung: keine Da sich der CMP-Code außerhalb der FIPS-Modulgrenze befindet, sind keine FIPS-Module von diesem CVE betroffen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.