Към съдържанието
Търсене

CVE-2026-42766: OpenSSL, грешка в паметта

5.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Issue summary: A specially crafted password-encrypted CMS message can trigger a NULL pointer dereference during CMS decryption. Impact summary: This NULL pointer dereference leads to an application crash and a Denial of Service. The CMS PasswordRecipientInfo.keyDerivationAlgorithm field is defined as OPTIONAL in the ASN.1 specification and may therefore be absent in specially crafted inputs. During the password-based CMS decryption the OpenSSL CMS implementation dereferences this field without first checking whether it was present. An attacker who supplies such a CMS message to an application performing password-based CMS decryption can trigger an application crash, leading to a Denial of Service. Applications that process password-encrypted CMS messages may be affected. The FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this issue, as the affected code is outside the OpenSSL FIPS module boundary.

Засегнати продукти

  • OpenSSL OpenSSL: 4.0.0 преди 4.0.1; 3.6.0 преди 3.6.3; 3.5.0 преди 3.5.7; 3.4.0 преди 3.4.6; 3.0.0 преди 3.0.21; 1.1.1 преди 1.1.1zh; 1.0.2 преди 1.0.2zq

Вид слабост

История

  • 9 юни 2026 Публикувано

Други уязвимости в OpenSSL OpenSSL

Първоизточници

CVE-2026-42766: OpenSSL, грешка в паметта | freedomonline.bg