OpenSSL opravuje 14 zranitelností

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] OpenSSL opravuje 14 zranitelností

OpenSSL verzemi 3.4.8, 3.5.9, 3.6.5, 4.0.3 [1] (pro zákazníky s prémiovou podporou také 1.0.2zs, 1.1.1zj, 3.0.23) opravuje 14 zranitelností [2]. Nejzávažnější z nich najdete popsané níže. Opravené verze knihovny [1]: OpenSSL - 3.4.8, 3.5.9, 3.6.5, 4.0.3 OpenSSL (premium support) - 1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 Vydání Debian a jejich opravené verze [3]: trixie (security) - 3.5.7-1~deb13u3 sid - 3.6.5-1 Vydání Ubuntu a jejich opravené verze [4][5][6]: 26.04 LTS resolute - libssl3t64 – 3.5.5-1ubuntu3.7 24.04 LTS noble - libssl3t64 – 3.0.13-0ubuntu3.16 22.04 LTS jammy - libssl3 – 3.0.2-0ubuntu1.30

OpenSSL - DoS (CVE-2026-84782)

CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi, který je protistranou DTLS spojení, je umožněno získat obsah paměti haldy odeslaný v nešifrované handshake zprávě nebo vykonat útok DoS. Zranitelnost je zneužitelná, vyprší-li během DTLS handshaku časovač pro opakovaný přenos zpráv ve chvíli, kdy je zápis jiné handshake zprávy pozastaven, protože transportní vrstva dočasně nepřijímá data (WANT_WRITE) [2].

Zranitelnost se nachází v produktu:

OpenSSL;>=1.0.2, <1.0.2zs;>=1.1.1, <1.1.1zj;>=3.0, <3.0.23;>=3.4, <3.4.8;>=3.5, <3.5.9;>=3.6, <3.6.5;>=4.0, <4.0.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H

Více informací:

CVE-2026-84782 na cve.org, NVD
CWE-125: Out-of-bounds Read na cwe.mitre.org

Zranitelnost byla veřejně oznámena 29. 9. 2026.

OpenSSL - DoS (CVE-2026-84783)

CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu Use-After-Free v mezipaměti pro rozšíření certifikátů X.509 umožněno vykonat útok DoS ve vícevláknovém TLS klientovi nebo serveru vyžadujícím klientské certifikáty za předpokladu, že jsou první řetězce k téže důvěryhodné certifikační autoritě budovány několika spojeními současně [2].

Zranitelnost se nachází v produktu:

OpenSSL;>=4.0, <4.0.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H