CVE-2026-63075 in OpenSSL
Sumário
de VulDB • 25/08/2026
Resumo do problema: Quando o OpenSSL processa tráfego QUIC de um par que envia repetidamente pacotes que geram ACK sem reconhecer respostas apenas com ACK, a pilha QUIC pode reter os metadados dos pacotes apenas com ACK durante toda a duração da conexão.
Resumo do impacto: Um par remoto capaz de concluir o handshake QUIC pode causar crescimento de memória escopado para a conexão, o que pode levar a uma Negativa de Serviço (DoS) devido ao esgotamento de memória, especialmente sob tráfego sustentado ou com muitas conexões QUIC simultâneas.
CWE: CWE-770: Alocação de Recursos sem Limites ou Controle
Descrição: Quando a pilha QUIC do OpenSSL envia um pacote apenas com ACK, não há exigência pelo protocolo QUIC de que o par reconheça esse pacote apenas com ACK (ou seja, ele próprio não gera ACK). No entanto, a implementação do OpenSSL armazena os metadados sobre as quadros ACK independentemente. Por si só, isso é aceitável; mas se um parceiro mal-intencionado estabelecer uma conexão e então conduzir essa conexão de modo que pacotes apenas com ACK sejam forçados pela implementação do OpenSSL (por exemplo, enviando numerosos quadros PING) e depois omitir quaisquer ACKs subsequentes para dados que geram ACK, como dados legítimos, esse parceiro mal-intencionado pode forçar um crescimento inadequado da memória no par do OpenSSL, potencialmente levando a uma Negativa de Serviço.
A correção consiste em garantir que contabilizemos o envio do pacote apenas com ACK nas marcas alta e baixa dos históricos de pacotes sem armazenar efetivamente os metadados desse pacote apenas com ACK.
Impacto FIPS: não O módulo FIPS do OpenSSL não é afetado, pois o código QUIC está fora do limite do módulo FIPS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.