CVE-2026-28388 in OpenSSL
Сводка
по VulDB • 11.07.2026
Сводка по проблеме: При обработке дельта-списка отзыва сертификатов (CRL), содержащего расширение Delta CRL Indicator, может произойти разыменование нулевого указателя (NULL pointer dereference), если отсутствует обязательное расширение CRL Number.
Сводка по воздействию: Разыменование нулевого указателя может вызвать сбой приложения, что приводит к отказу в обслуживании (Denial of Service).
При включенной обработке списков отзыва сертификатов (CRL) и дельта-списков CRL во время проверки сертификата X.509 обработка дельта-CRL не проверяет значение расширения CRL Number на NULL перед его разыменованием. При обработке неправильно сформированного файла дельта-CRL этот параметр может иметь значение NULL, что вызывает разыменование нулевого указателя.
Для эксплуатации данной уязвимости необходимо наличие флага X509_V_FLAG_USE_DELTAS во включенном состоянии в контексте проверки, наличия расширения freshestCRL в проверяемом сертификате или установки флага EXFLAG_FRESHEST для базового CRL, а также предоставления злоумышленником неправильно сформированного списка отзыва (CRL) приложению, которое его обрабатывает.
Уязвимость ограничивается отказом в обслуживании и не может быть использована для повышения привилегий до выполнения кода или раскрытия содержимого памяти. По этой причине проблема была оценена как имеющая низкий уровень серьезности согласно нашей Политике безопасности.
Модули FIPS версий 3.6, 3.5, 3.4, 3.3 и 3.0 не подвержены данной проблеме, поскольку затронутый код находится за пределами границ модуля OpenSSL FIPS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.