CVE-2026-35191 in OpenSSL
Tóm tắt
Bởi VulDB • 30/09/2026
Tóm tắt vấn đề: Máy chủ QUIC của OpenSSL, khi được cấu hình để không thực hiện xác minh địa chỉ, có thể bị buộc phải đếm các gói tin đến nhiều lần trong tính toán tín dụng chưa được xác nhận, dẫn đến vi phạm giới hạn khuếch đại kết nối chưa được xác nhận theo RFC 9000 là gấp 3 lần lượng dữ liệu đã nhận.
Tóm tắt tác động: Một kẻ tấn công từ xa có khả năng giả mạo (spoof) các gói tin gửi đến máy chủ sử dụng triển khai QUIC của OpenSSL có thể lợi dụng máy chủ này để khuếch đại một cuộc tấn công DDoS.
CWE: CWE-440: Vi phạm hành vi dự kiến
Mô tả: Stack QUIC của OpenSSL, khi hoạt động ở chế độ máy chủ, thực thi xác minh địa chỉ khách hàng (RFC 9000, Mục 8) để xác nhận rằng địa chỉ đối tác không được sử dụng cho các cuộc tấn công khuếch đại lưu lượng. Nếu tính năng này bị vô hiệu hóa trên máy chủ, stack QUIC sẽ giới hạn lượng dữ liệu của máy chủ có thể gửi đi bằng 3 lần lượng dữ liệu đã nhận từ địa chỉ đối tác, cho đến khi quá trình bắt tay TLS hoàn tất.
Máy chủ QUIC của OpenSSL, khi hoạt động ở chế độ không xác minh, cộng thêm chiều dài của toàn bộ datagram đã nhận vào giới hạn tín dụng chưa được xác nhận khi xử lý từng gói tin QUIC trong datagram đó. Một đối tác từ xa có thể, sau khi thiết lập kết nối với khung hello ban đầu (initial client hello frame), gửi một datagram tiếp theo chứa nhiều gói tin QUIC, dẫn đến việc máy chủ tính chiều dài toàn bộ datagram cho mỗi gói tin trong datagram đó, khiến máy chủ tin rằng đối tác đã gửi nhiều dữ liệu hơn thực tế, do đó vi phạm giới hạn khuếch đại 3 lần được quy định bởi RFC.
Tác động FIPS: không Vì stack QUIC nằm ngoài ranh giới của mô-đun FIPS, nên không có mô-đun FIPS nào bị ảnh hưởng bởi CVE này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.