Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je v důsledku zápisu za hranicí alokované paměti zásobníku při zpracování šifrovaných CMS zpráv s AEAD šiframi umožněno způsobit DoS útok nebo potenciálně provést vzdálené spuštění kódu [1].

Zranitelnost se nachází v produktu:

• OpenSSL; >=3.6, <3.6.1; >=3.5, <3.5.5; >=3.4, <3.4.4; >=3.3, <3.3.6; >=3.0, <3.0.19

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-15467 na cve.org, NVD
• CWE-787: Out-of-bounds Write na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 1. 2026.

Autentizovanému lokálnímu útočníkovi je při zpracování speciálně upravených PKCS#12 souborů v důsledku nedostatečné kontroly vstupních parametrů umožněno způsobit DoS útok nebo potenciálně spuštění kódu [1].

Zranitelnost se nachází v produktu:

• OpenSSL; >=3.4.0, <3.4.4; >=3.5.0, <3.5.5; >=3.6.0, <3.6.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:H

Více informací:

• CVE-2025-11187 na cve.org, NVD
• CWE-787: Out-of-bounds Write na cwe.mitre.org
• CWE-476: NULL Pointer Dereference na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 1. 2026.

Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečné kontroly velikosti komprimovaných TLS 1.3 certifikátů umožněno vyvolat nadměrnou alokaci paměti, což může vést k DoS útoku. Dočasným opatřením je zakázání přijímání komprimovaných certifikátů nastavením volby SSL_OP_NO_RX_CERTIFICATE_COMPRESSION [1].

Zranitelnost se nachází v produktu:

• OpenSSL; >=3.3.0, <3.3.6; >=3.4.0, <3.4.4; >=3.5.0, <3.5.5; >=3.6.0, <3.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-66199 na cve.org, NVD
• CWE-789: Memory Allocation with Excessive Size Value na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 1. 2026.