CVE-2026-35189
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Podsumowanie problemu: certyfikat z wieloma nazwamiRelativeToCRLIssuer CRL
punkty dystrybucji powodują nieproporcjonalny wzrost sterty podczas buforowania OpenSSL
Rozszerzenia X.509.
Podsumowanie wpływu: otrzymanie spreparowanego certyfikatu od złośliwego urządzenia równorzędnego może prowadzić
na znaczne obciążenie pamięci i możliwą odmowę usługi u klientów lub
na serwerach żądających certyfikatów klientów.
CWE: CWE-770: Alokacja zasobów bez ograniczeń i dławienia
Opis: Certyfikat lub zestaw certyfikatów mieszczący się w limicie dla
rozmiar certyfikatów akceptowanych od partnera (~100 KiB) może skutkować alokacją
kilkuset MiB pamięci rezydentnej po stronie odbierającej
podczas normalnego uzgadniania TLS. Może to wystarczyć do zawieszenia klienta lub
serwerem, jeśli wiele jednoczesnych połączeń prowadzi do podobnie dużej pamięci
przydziały.
Poprawka opóźnia przetwarzanie rozszerzeń punktów dystrybucji CRL w
certyfikatów do czasu, gdy przetworzona wartość jest wymagana do przetworzenia list CRL.
Pozwala to uniknąć utrzymywania dużych alokacji pamięci przez długi czas, gdy takie są
otrzymują certyfikaty.
Wpływ FIPS: nie
Kod, którego dotyczy problem, znajduje się poza granicami modułu FIPS.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/openssl/openssl/commit/2b93c73b2c70ddc4c61c5e4bfaaa6bd71379eb84
- https://github.com/openssl/openssl/commit/3842516cc15e8b2cf55747011045e77547e71d89
- https://github.com/openssl/openssl/commit/8e0efc7549b7ff8246d40e585e3fd604f728473f
- https://github.com/openssl/openssl/commit/c72ae182cac17a82e4246c6ecd4e9c4ec3586ec9
- https://openssl-library.org/news/secadv/20260929.txt
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org