Към съдържанието
Търсене

CVE-2026-42767: OpenSSL, грешка в паметта

5.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Issue summary: An attacker-controlled CMP (Certificate Management Protocol) server could trigger a NULL pointer dereference in a CMP client application. Impact summary: A NULL pointer dereference causes a crash of the application and a Denial of Service. An attacker controlling a CMP server (or acting as a man-in-the-middle) could craft a CMP response containing a CRMF (Certificate Request Message Format) CertRepMessage with an EncryptedValue structure where the symmAlg field has an algorithm OID but no parameters field. When the OpenSSL CMP client processes this response, the NULL dereference occurs, causing a crash of the CMP client. Applications that process untrusted CMP/CRMF messages may be affected. The FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this issue, as the affected code is outside the OpenSSL FIPS module boundary.

Засегнати продукти

  • OpenSSL OpenSSL: 4.0.0 преди 4.0.1; 3.6.0 преди 3.6.3; 3.5.0 преди 3.5.7; 3.4.0 преди 3.4.6; 3.0.0 преди 3.0.21

Вид слабост

История

  • 9 юни 2026 Публикувано

Други уязвимости в OpenSSL OpenSSL

Първоизточници

CVE-2026-42767: OpenSSL, грешка в паметта | freedomonline.bg