CVE-2026-42772 in OpenSSL
Сводка
по VulDB • 29.09.2026
Сводка по проблеме: Производительность алгоритма сборки потока QUIC постепенно ухудшается при поступлении пакетов в неправильном порядке. В худшем случае сложность является квадратичной и пропорциональна количеству кадров потока, сохраняемых в буфере для полученных данных потока.
Сводка по воздействию: Удаленный узел QUIC, завершивший рукопожатие, может создать нагрузку на процессор (CPU) на уровне соединения и потенциально вызвать отказ в обслуживании (DoS), используя корректные кадры STREAM внутри объявленного окна приема при низкой пропускной способности атакующего.
CWE: CWE-407: Неэффективная алгоритмическая сложность
Описание: OpenSSL управляет полученными фрагментами потока QUIC с использованием двусвязного списка. Хотя оптимизация выполняется для операций добавления (в конец списка), происходит возврат к линейному поиску от головы до хвоста для любого фрагмента, который не следует непосредственно за текущим `tail` (хвостом).
Манипулируя последовательностью смещений, злоумышленник может принудить сервер выполнять операции O(n^2), потребляя чрезмерное время процессора для процесса QUIC.
Воздействие FIPS: нет Модуль FIPS не затронут, так как реализация QUIC находится за пределами границ модуля FIPS OpenSSL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.