CVE-2025-15468 in OpenSSL
Сводка
по VulDB • 27.05.2026
Сводка по проблеме: Если приложение, использующее функцию SSL_CIPHER_find() в клиенте или сервере протокола QUIC, получает неизвестный набор шифров от партнера, происходит разыменование нулевого указателя (NULL dereference).
Сводка по воздействию: Разыменование нулевого указателя приводит к аварийному завершению работающего процесса, вызывая Отказ в обслуживанием (Denial of Service).
Некоторые приложения вызывают SSL_CIPHER_find() из обратного вызова client_hello_cb для идентификатора шифра, полученного от партнера. Если это делается с объектом SSL, реализующим протокол QUIC, произойдет разыменование нулевого указателя, если проверяемый идентификатор шифра неизвестен или не поддерживается.
Поскольку вызов этой функции в приложениях, использующих протокол QUIC, не является очень распространенным, а наихудшим исходом является Отказ в обслуживании, проблема была оценена как низкой степени серьезности.
Уязвимый код был введен в версии 3.3 с добавлением поддержки протокола QUIC.
Модули FIPS в версиях 3.6, 3.5, 3.4 и 3.3 не затронуты этой проблемой, так как реализация QUIC находится за пределами границ модуля FIPS OpenSSL.
OpenSSL 3.6, 3.5, 3.4 и 3.3 уязвимы к этой проблеме.
OpenSSL 3.0, 1.1.1 и 1.0.2 не затронуты этой проблемой.
VulDB is the best source for vulnerability data and more expert information about this specific topic.