Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] OpenSSL opravuje 14 zraniteľností

OpenSSL verziami 3.4.8, 3.5.9, 3.6.5, 4.0.3 [1] (pre zákazníkov s prémiovou podporou aj 1.0.2zs, 1.1.1zj, 3.0.23) opravuje 14 zraniteľností [2]. Najzávažnejšie z nich nájdete opísané nižšie. Opravené verzie knižnice [1]: OpenSSL - 3.4.8, 3.5.9, 3.6.5, 4.0.3 OpenSSL (premium support) - 1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 Vydania Debian a ich opravené verzie [3]: trixie (security) - 3.5.7-1~deb13u3 sid - 3.6.5-1 Vydania Ubuntu a ich opravené verzie [4][5][6]: 26.04 LTS resolute - libssl3t64 – 3.5.5-1ubuntu3.7 24.04 LTS noble - libssl3t64 – 3.0.13-0ubuntu3.16 22.04 LTS jammy - libssl3 – 3.0.2-0ubuntu1.30

OpenSSL - DoS (CVE-2026-84782)
CVSS 8.2 (High)

Neautentizovanému vzdialenému útočníkovi, ktorý je protistranou DTLS spojenia, je umožnené získať obsah pamäte haldy odoslaný v nešifrovanej handshake správe alebo vykonať útok DoS. Zraniteľnosť je zneužiteľná, ak počas DTLS handshaku vyprší časovač pre opakovaný prenos správ v okamihu, keď je zápis inej handshake správy pozastavený, pretože transportná vrstva dočasne neprijíma dáta (WANT_WRITE) [2].

Zraniteľnosť sa nachádza v produkte:

  • OpenSSL;>=1.0.2, <1.0.2zs;>=1.1.1, <1.1.1zj;>=3.0, <3.0.23;>=3.4, <3.4.8;>=3.5, <3.5.9;>=3.6, <3.6.5;>=4.0, <4.0.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 29. 9. 2026.

OpenSSL - DoS (CVE-2026-84783)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu Use-After-Free vo vyrovnávacej pamäti pre rozšírenia certifikátov X.509 umožnené vykonať útok DoS vo viacvláknovom TLS klientovi alebo serveri vyžadujúcom klientske certifikáty za predpokladu, že prvé reťazce k tej istej dôveryhodnej certifikačnej autorite sú budované niekoľkými spojeniami súčasne [2].

Zraniteľnosť sa nachádza v produkte:

  • OpenSSL;>=4.0, <4.0.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 29. 9. 2026.

Za CESNET, z.s.p.o. Táňa Macháčková dňa 30. 9. 2026.

CESNET, z.s.p.o. Logo