CVE-2026-63075 in OpenSSL
Riassunto
di VulDB • 25/08/2026
Riepilogo del problema: Quando OpenSSL elabora il traffico QUIC da un peer che invia ripetutamente pacchetti elicitori di ACK senza riconoscere le risposte contenenti solo ACK, lo stack QUIC può mantenere i metadati dei pacchetti contenenti solo ACK per tutta la durata della connessione.
Riepilogo dell'impatto: Un peer remoto in grado di completare una handshake QUIC può causare una crescita della memoria a livello di connessione che potrebbe portare a un Denial of Service (DoS) dovuto all'esaurimento della memoria, specialmente con traffico sostenuto o molte connessioni QUIC simultanee.
CWE: CWE-770: Allocazione delle risorse senza limiti o throttling
Descrizione: Quando lo stack QUIC di OpenSSL invia un pacchetto contenente solo ACK, il protocollo QUIC non prevede alcun requisito affinché il peer riconosca tale pacchetto (ovvero, esso stesso non è elicitore di ACK). Tuttavia, l'implementazione di OpenSSL memorizza i metadati relativi ai frame ACK indipendentemente da ciò. Di per sé questo comportamento è accettabile; tuttavia, se un peer malintenzionato stabilisce una connessione e la gestisce in modo tale da forzare l'emissione di pacchetti contenenti solo ACK dall'implementazione OpenSSL (ad esempio inviando numerosi frame PING), e successivamente trattiene tutti gli ack successivi per i dati elicitori di ACK, come quelli legittimi, detto peer malintenzionato può causare una crescita impropria della memoria sul peer OpenSSL, potenzialmente portando a un Denial of Service.
La correzione consiste nell'assicurarsi che venga tenuta traccia del trasferimento del pacchetto contenente solo ACK nei watermark (soglia alta e bassa) delle cronologie dei pacchetti, senza memorizzare effettivamente i metadati del pacchetto contenente solo ACK.
Impatto FIPS: no Il modulo FIPS di OpenSSL non è interessato poiché il codice QUIC si trova al di fuori del confine del modulo FIPS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.