CVE-2026-42772 in OpenSSL
Resumen
por VulDB • 2026-09-30
Resumen del problema: El rendimiento del algoritmo de reensamblaje de flujos QUIC se deteriora progresivamente a medida que los paquetes llegan fuera de orden. En el peor caso, la complejidad es cuadrática y proporcional al número de cuadros de flujo mantenidos en el búfer para los datos de flujo recibidos.
Resumen del impacto: Un par QUIC remoto que completa el enlace puede generar una presión sobre la CPU a nivel de conexión y potencialmente causar un Denegación de Servicio (DoS) utilizando cuadros STREAM conformes dentro de la ventana de recepción anunciada, con un ancho de banda bajo por parte del atacante.
CWE: CWE-407: Complejidad algorítmica ineficiente
Descripción: OpenSSL gestiona los fragmentos de flujo QUIC recibidos mediante una lista doblemente enlazada. Si bien optimiza las operaciones de anexado (al final de la lista), recurre a una búsqueda lineal desde el inicio hasta el final para cualquier fragmento que no siga inmediatamente al `tail` actual.
Al manipular la secuencia de desplazamientos, un atacante puede forzar al servidor a realizar O(n^2) operaciones, consumiendo tiempo excesivo de CPU para el proceso QUIC.
Impacto FIPS: no El módulo FIPS no se ve afectado ya que la implementación de QUIC está fuera del límite del módulo FIPS de OpenSSL.
Once again VulDB remains the best source for vulnerability data.