CVE-2026-75804
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Podsumowanie problemu: stos OpenSSL QUIC nie wymusza połączenia
kontrola poziomu przepływu strumieni. Zdalni partnerzy mogą wysyłać więcej bajtów
o ile mieszczą się w granicach kontroli przepływu strumienia.
Podsumowanie wpływu: złośliwy zdalny element równorzędny może wykorzystać brak połączenia
kontrola przepływu strumieni, aby stos QUIC otrzymał ~100 MB pamięci
zamiast 768 KiB (domyślny rozmiar okna kontroli przepływu).
CWE: CWE-770: Alokacja zasobów bez ograniczeń i dławienia
Opis: lokalny stos QUIC ogłasza dwa limity kontroli przepływu
do zdalnego partnera: limit kontroli przepływu strumienia i przepływ połączenia
granica kontrolna. Zdalny uczestnik musi podczas transmisji przestrzegać obu ograniczeń
dane strumieniowe.
Ilekroć lokalny stos QUIC odbiera ramkę strumieniową, sprawdza poprawność
aby rozmiar odebranej ramki strumienia mieścił się w granicach kontroli przepływu.
Jeśli którykolwiek z limitów zostanie przekroczony (poziom strumienia lub poziom połączenia), wówczas
stos QUIC musi zamknąć połączenie z powodu błędu kontroli przepływu.
Podatny na ataki stos OpenSSL QUIC wymusza działanie na poziomie strumienia, ale tak nie jest
limit poziomu połączenia. Aby wykorzystać ten problem, muszą zostać spełnione trzy warunki:
- zdalny peer otwiera kilka strumieni
- każdy strumień musi mieścić się w granicach kontroli przepływu na poziomie strumienia
- żaden ze strumieni nie może wysyłać bajtów zerowych
(aby zapobiec zużywaniu danych przez podatny na ataki stos QUIC).
Spełniając powyższe warunki, zdalny peer może utworzyć stos lokalny
przydziel 2 bajty MAX_STREAMS x (limit kontroli przepływu strumienia).
pamięci. Wartość domyślna MAX_STREAMS wynosi 100, a limit dotyczy obu
strumieni dwukierunkowych i jednokierunkowych, co daje w sumie 200. Wartość domyślna
Okno kontroli przepływu dla strumienia wynosi 512kB. Zdalny uczestnik może
zmusić podatny na ataki stos QUIC do przydzielenia 100 MB sterty na połączenie.
Wpływ FIPS: nie
Nie ma to wpływu na moduł FIPS, ponieważ implementacja QUIC jest poza nim
granica modułu OpenSSL FIPS.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/openssl/openssl/commit/2e8f54666b3fb7b05ff5f58aa6cac9285163654e
- https://github.com/openssl/openssl/commit/4533ee8a5686c953ed3b644738ac4bdf20806538
- https://github.com/openssl/openssl/commit/64d3102fb5b54311e92517f26ba00169d719e74a
- https://github.com/openssl/openssl/commit/f9eaecf5bdd6692da052bc65b0332af2a938ac03
- https://openssl-library.org/news/secadv/20260929.txt
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org