CVE-2026-42772
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Podsumowanie problemu: Pogarsza się wydajność algorytmu ponownego składania strumienia QUIC
stopniowo, w miarę napływania pakietów w niewłaściwej kolejności. Najgorszy przypadek
złożoność kwadratowa proporcjonalna do liczby przechowywanych ramek strumieniowych
bufor dla odebranych danych strumieniowych.
Podsumowanie wpływu: zdalny uczestnik QUIC, który zakończy uzgadnianie, może utworzyć
obciążenie procesora w zakresie połączenia i potencjalna odmowa usługi
zgodne ramki STREAM w reklamowanym oknie odbioru, z niskim poziomem
przepustowość atakującego.
CWE: CWE-407: Nieefektywna złożoność algorytmiczna
Opis: OpenSSL zarządza odebranymi fragmentami strumienia QUIC za pomocą pliku
podwójnie połączona lista. Chociaż optymalizuje pod kątem operacji dołączania (na końcu
liście), następuje powrót do liniowego wyszukiwania od początku do końca dowolnego fragmentu
który nie następuje bezpośrednio po bieżącym „ogonie”.
Manipulując sekwencją przesunięć, atakujący może wymusić na serwerze
do wykonywania operacji O(n^2), pochłaniając nadmierny czas procesora
Proces QUIC.
Wpływ FIPS: nie
Nie ma to wpływu na moduł FIPS, ponieważ implementacja QUIC jest poza nim
granica modułu OpenSSL FIPS.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/openssl/openssl/commit/32d0ed8afe1b8c3e7ece725b44663da3d7087a09
- https://github.com/openssl/openssl/commit/ca8402e273af4de5b3f04fa61a0f0c02ce3ae20e
- https://github.com/openssl/openssl/commit/eb2becc0a4baea7f3050a247834d0e5c2ebe1773
- https://github.com/openssl/openssl/commit/f42ae513bbda513b3c121d54834040ee4a0eae1a
- https://openssl-library.org/news/secadv/20260929.txt
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org