8.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
LibreSSL ocspcheck through 4.4.0 contains a memory exhaustion vulnerability that allows malicious OCSP responders to exhaust memory by sending unbounded HTTP responses. Attackers controlling the responder or intercepting plain HTTP AIA OCSP traffic can stream endless headers or body data to http_head_read() and http_body_read(), denying certificate status checks.
Засегнати продукти
- OpenBSD LibreSSL: до 4.4.0
Вид слабост
История
- 28 октомври 2026 Публикувано
Други уязвимости в OpenBSD LibreSSL
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-118374
- https://nvd.nist.gov/vuln/detail/CVE-2026-118374
- https://github.com/openbsd/src/commit/bf5da63f53179ef423d18c56d6da89eaefb56228
- https://github.com/openbsd/src/commit/de4274c56c9ace88232591d4c919d79281a8de59
- https://github.com/openbsd/src/blob/f6f428241d469cf434e60b73fc834d0448f068d5/usr.sbin/ocspcheck/http.c#L419
- https://ftp.openbsd.org/pub/OpenBSD/LibreSSL/libressl-4.4.0-relnotes.txt
- https://github.com/libressl/portable
- https://www.vulncheck.com/advisories/libressl-ocspcheck-through-4.4.0-memory-exhaustion-via-unbounded-ocsp-http-response