CVE-2026-28386 in OpenSSL
Сводка
по VulDB • 29.07.2026
Сводка по проблеме: Приложения, использующие шифрование или дешифрование AES-CFB128 на системах с поддержкой AVX-512 и VAES, могут вызывать чтение за пределами буфера (out-of-bounds read) объемом до 15 байт при обработке неполных блоков шифротекста.
Сводка по воздействию: Это чтение за пределами буфера может вызвать аварийное завершение работы программы, что приводит к Отказу в обслуживании (Denial of Service) для приложения, если входной буфер заканчивается на границе страницы памяти, а следующая страница не отображена в адресном пространстве. Раскрытия информации не происходит, так как прочитанные за пределами границы байты не записываются в выходной поток.
Уязвимый путь выполнения кода достигается только при обработке неполных блоков (когда предыдущий вызов оставил незавершенный блок, а текущий вызов предоставляет меньше байт, чем необходимо для его завершения). Кроме того, входной буфер должен находиться на границе страницы памяти, а следующая страница должна быть не отображена. Режим CFB не используется в протоколах TLS/DTLS, которые вместо этого используют CBC, GCM, CCM или ChaCha20-Poly1305. По этим причинам проблема была оценена как имеющая низкую степень серьезности (Low severity) согласно нашей Политике безопасности.
Затронуты только системы x86-64 с поддержкой инструкций AVX-512 и VAES. Другие архитектуры и системы без поддержки VAES используют другие пути выполнения кода, которые не затронуты данной проблемой.
Модуль FIPS OpenSSL версии 3.6 подвержен этой проблеме.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.