CVE-2026-14456 in OpenSSL
요약
\~에 의해 VulDB • 2026. 08. 14.
이슈 요약: OpenSSL QUIC 서버(Listener SSL 객체)가 알 수 없는 목적지 연결 ID를 가진 유효한 QUIC Initial 패킷을 처리할 때, 제한 없이 새 수신 채널을 할당하고 대기열에 추가할 수 있습니다.
영향 요약: 초기 패킷을 애플리케이션이 연결을 수용하는 속도보다 빠르게 서버 리스너로 보낼 수 있는 원격 피어는 각 채널 상태 저장용 메모리가 무제한으로 증가하도록 유발하여, QUIC 리스너를 사용할 수 없게 만들고 서비스 거부(Denial of Service)를 초래할 가능성이 있습니다.
CWE: CWE-770: 제한 또는 스로틀링 없이 자원 할당
설명: 수신 QUIC 패킷을 처리하는 함수는 패킷 헤더의 Connection-Id를 사용하여 기존 연결(QUIC 채널)을 찾습니다. 기존 연결이 발견되지 않고 패킷 유형이 INITIAL인 경우, 해당 함수는 패킷을 새 연결로 간주합니다. 이 함수는 새 채널 객체를 할당하고 로컬 애플리케이션에서 SSL_accept(3ossl)으로 수락되기를 기다리는 대기열에 삽입합니다. 이러한 초기 채널 객체가 차지하는 메모리는 애플리케이션이 이러한 수신 연결 요청을 처리하기 위해 SSL_accept()를 충분히 자주 호출하지 못하면 무제한으로 증가할 수 있습니다.
본 이슈는 QUIC 서버 구현이 추가된 OpenSSL 3.5부터 존재했습니다.
해결책은 대기 중인 연결에 대한 제한을 도입합니다. 기본값은 로컬 애플리케이션에서 수락되기를 기다리는 대기 중 연결 256개로 설정됩니다. 애플리케이션은 SSL_set_value_uint(3ossl) 호출을 통해 기본값을 변경할 수 있습니다.
FIPS 영향: 없음 QUIC 구현이 OpenSSL FIPS 모듈 경계 밖에 있으므로, FIPS 모듈에는 영향을 미치지 않습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.