CVE-2026-35191 in OpenSSL
Sumário
de VulDB • 30/09/2026
Resumo do problema: O servidor OpenSSL QUIC, quando configurado para não realizar validação de endereço, pode ser forçado a contar pacotes recebidos múltiplas vezes em seu cálculo de crédito não validado, levando à violação do limite de amplificação de conexão não validada da RFC 9000, que é de 3 vezes o volume de dados recebido.
Resumo do impacto: Um atacante remoto capaz de spoofar (falsificar) pacotes para um servidor usando a implementação OpenSSL QUIC pode utilizar o servidor para realizar uma amplificação em ataques DDoS.
CWE: CWE-440: Violação do Comportamento Esperado
Descrição: A pilha QUIC do OpenSSL, quando opera como servidor, aplica a validação de endereço do cliente (RFC 9000, Seção 8) para confirmar que o endereço peer não está sendo usado em um ataque de amplificação de tráfego. Se este recurso estiver desativado no servidor, a pilha QUIC limita a quantidade de dados do servidor que podem ser enviados para 3 vezes a quantidade de dados recebidos do endereço peer, até que o handshake TLS seja concluído.
O servidor OpenSSL QUIC, quando opera em modo sem validação, adiciona o comprimento total da datagrama recebida ao limite de crédito não validado ao processar cada pacote QUIC na datagrama. Um peer remoto pode, após estabelecer uma conexão com um quadro inicial Client Hello, enviar uma datagrama subsequente contendo múltiplos pacotes QUIC, levando o servidor a contabilizar o comprimento total da datagrama para cada pacote nela contido, resultando no servidor acreditar que o peer enviou mais dados do que realmente enviou, violando assim o limite de amplificação 3x exigido pela RFC.
Impacto FIPS: não Como a pilha QUIC reside fora dos limites do módulo FIPS, nenhum módulo FIPS é afetado por esta CVE.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.