CVE-2026-35191 in OpenSSL
요약
\~에 의해 VulDB • 2026. 09. 29.
이슈 요약: OpenSSL의 QUIC 서버는 주소 검증을 수행하지 않도록 구성된 경우, 검증되지 않은 크레딧 계산 과정에서 수신된 패킷을 여러 번 카운트하도록 강요받을 수 있으며, 이는 RFC 9000에서 규정하는 검증되지 않은 연결 증폭 제한(수신 데이터량의 3배) 위반으로 이어집니다.
영향 요약: OpenSSL QUIC 구현체를 사용하는 서버로 패킷을 스푸핑할 수 있는 원격 공격자는 해당 서버를 사용하여 DDoS 공격의 증폭에 악용할 수 있습니다.
CWE: CWE-440: Expected Behavior Violation (예상 동작 위반)
설명: OpenSSL의 QUIC 스택은 서버로서 작동 시, 트래픽 증폭 공격에 주소가 사용되지 않음을 확인하기 위해 RFC 9000(섹션 8)에 따라 클라이언트 주소 검증을 시행합니다. 만약 이 기능이 서버에서 비활성화되면, TLS 핸드셰이크가 완료될 때까지 QUIC 스택은 피어 주소로부터 수신된 데이터량의 3배로 제한되는 만큼의 서버 데이터를 전송할 수 있습니다.
검증 모드가 아닌 상태로 작동하는 OpenSSL QUIC 서버는 각 QUIC 패킷을 처리할 때, 전체 데이타그램의 길이를 검증되지 않은 크레딧 한도에 추가합니다. 원격 피어는 초기 클라이언트 헬로 프레임으로 연결을 설정한 후, 여러 개의 QUIC 패킷을 포함하는 이후의 데이타그램을 전송하여 서버가 데이타그램 내 각 패킷에 대해 전체 데이타그램 길이를 계상하도록 유도할 수 있습니다. 이로 인해 서버는 실제보다 피어가 더 많은 데이터를 보낸 것으로 오인하게 되며, 이는 RFC에서 mandated(명령/요구)하는 3배 증폭 제한을 위반합니다.
FIPS 영향: 없음 QUIC 스택이 FIPS 모듈 경계 외부에 위치하므로, 이 CVE로 인해 영향을 받는 FIPS 모듈은 없습니다.
Be aware that VulDB is the high quality source for vulnerability data.