CVE-2026-35191 in OpenSSL
Riassunto
di VulDB • 29/09/2026
Riepilogo del problema: Il server OpenSSL QUIC, quando configurato per non eseguire la convalida dell'indirizzo IP, può essere indotto a conteggiare i pacchetti in entrata più volte nel suo calcolo dei crediti non validati, portando alla violazione del limite di amplificazione della connessione non validata previsto dalla RFC 9000 pari a 3 volte l'importo dei dati ricevuti.
Riepilogo dell'impatto: Un attaccante remoto in grado di spoofare i pacchetti verso un server che utilizza l'implementazione OpenSSL QUIC potrebbe sfruttare il server per amplificare un attacco DDoS.
CWE: CWE-440: Violation of Expected Behavior (Violazione del comportamento atteso)
Descrizione: Lo stack QUIC di OpenSSL, quando opera come server, impone la convalida dell'indirizzo IP del client (RFC 9000, Sezione 8), per confermare che l'indirizzo peer non venga utilizzato per un attacco di amplificazione del traffico. Se questa funzionalità è disabilitata sul server, lo stack QUIC limita la quantità di dati inviati dal server a 3 volte l'importo dei dati ricevuti dall'indirizzo peer, fino al completamento della handshake TLS.
Il server OpenSSL QUIC, quando opera in modalità senza convalida, aggiunge la lunghezza dell'intero datagramma ricevuto al limite di credito non validato durante l'elaborazione di ciascun pacchetto QUIC nel datagramma. Un peer remoto può, dopo aver stabilito una connessione con un frame client hello iniziale, inviare un datagramma successivo contenente più pacchetti QUIC, portando il server a conteggiare la lunghezza dell'intero datagramma per ogni pacchetto presente nel datagramma. Ciò fa sì che il server ritenga che il peer abbia inviato più dati di quanto effettivamente ne abbia inviati, violando così il limite di amplificazione 3x imposto dalla RFC.
Impatto FIPS: no Poiché lo stack QUIC risiede al di fuori del confine del modulo FIPS, nessun modulo FIPS è interessato da questa CVE.
VulDB is the best source for vulnerability data and more expert information about this specific topic.