Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v dôsledku zápis za hranicou alokovanej pamäte zásobníka pri spracovaní šifrovaných CMS správ s AEAD šiframi umožnené spôsobiť DoS útok alebo potenciálne vykonať vzdialené spustenie kódu [1].

Zraniteľnosť sa nachádza v produkte:

• OpenSSL; >=3.6, <3.6.1; >=3.5, <3.5.5; >=3.4, <3.4.4; >=3.3, <3.3.6; >=3.0, <3.0.19

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-15467 na cve.org, NVD
• CWE-787: Out-of-bounds Write na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 1. 2026.

Autentizovanému lokálnemu útočníkovi je pri spracovaní špeciálne upravených PKCS#12 súborov v dôsledku nedostatočnej kontroly vstupných parametrov umožnené spôsobiť DoS útok alebo potenciálne spustenie kódu [1].

Zraniteľnosť sa nachádza v produkte:

• OpenSSL; >=3.4.0, <3.4.4; >=3.5.0, <3.5.5; >=3.6.0, <3.6.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:H

Viac informácií:

• CVE-2025-11187 na cve.org, NVD
• CWE-787: Out-of-bounds Write na cwe.mitre.org
• CWE-476: NULL Pointer Dereference na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 1. 2026.

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej kontroly veľkosti komprimovaných TLS 1.3 certifikátov umožnené vyvolať nadmernú alokáciu pamäte, čo môže viesť k DoS útoku. Dočasným opatrením je zakázanie prijímania komprimovaných certifikátov nastavením voľby SSL_OP_NO_RX_CERTIFICATE_COMPRESSION [1].

Zraniteľnosť sa nachádza v produkte:

• OpenSSL; >=3.3.0, <3.3.6; >=3.4.0, <3.4.4; >=3.5.0, <3.5.5; >=3.6.0, <3.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-66199 na cve.org, NVD
• CWE-789: Memory Allocation with Excessive Size Value na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 1. 2026.