Keenetic исправил восемь уязвимостей OpenSSL и отключил HTTP/2 в прошивке 5.1.0

Компания Keenetic выпустила обновление прошивки для своих роутеров - KeeneticOS 5.1.0. В состав релиза вошли исправления для семи уязвимостей в библиотеке OpenSSL, обновлённой до версий 3.5.6 и 3.0.20, а также отключение поддержки протокола HTTP/2 для предотвращения атаки на исчерпание памяти. Уязвимости были раскрыты в апрельском бюллетене безопасности OpenSSL, а проблема с HTTP/2 получила отдельную запись CVE-2026-49975.

Детали уязвимостей

Большинство закрытых проблем в OpenSSL имеют низкую степень опасности, однако одна из них - CVE-2026-31790 - классифицирована как умеренная. Она затрагивает механизм инкапсуляции ключей RSASVE: из‑за некорректной проверки возвращаемого значения функции RSA_public_encrypt() при неудачной операции шифрования приложение может вернуть успешный результат, используя содержимое неинициализированного буфера. В случае эксплуатации злоумышленник, предоставив невалидный открытый RSA‑ключ, мог бы получить фрагменты чувствительных данных из памяти процесса, оставшихся от предыдущих вызовов. Временной мерой защиты разработчики OpenSSL называют предварительную проверку ключа через вызов EVP_PKEY_public_check() до вызова EVP_PKEY_encapsulate().

Среди остальных уязвимостей - CVE-2026-28386, приводящая к чтению за пределами буфера при использовании AES-CFB-128 на системах с поддержкой AVX-512 и VAES. Хотя обход данных не происходит, при определённых условиях эта проблема может вызвать крах приложения и, как следствие, отказ в обслуживании. Уязвимость затрагивает только OpenSSL версии 3.6 и не проявляется на других архитектурах.

Другая проблема - CVE-2026-28387 - связана с возможным использованием после освобождения в коде проверки подлинности DANE TLSA. Для её эксплуатации требуется нестандартная конфигурация как клиента, так и сервера - одновременное применение записей TLSA с разными типами сертификатов. Наиболее распространённые реализации DANE в SMTP‑серверах не уязвимы.

Три уязвимости - CVE-2026-28388, CVE-2026-28389 и CVE-2026-28390 - объединяет общий корень: разыменование нулевого указателя при обработке некорректных данных. Первая возникает при анализе дельта-списков отзыва сертификатов (CRL), когда отсутствует обязательное расширение CRL Number. Две другие проявляются при обработке CMS-сообщений с разными типами получателей - KeyAgreeRecipientInfo и KeyTransportRecipientInfo. Во всех трёх случаях атака ограничивается отказом в обслуживании, без утечки данных или выполнения кода.

Уязвимость CVE-2026-31789 затрагивает только 32‑разрядные платформы и связана с переполнением буфера в куче при преобразовании OCTET STRING слишком большого размера в шестнадцатеричную строку. Для её использования злоумышленник должен предоставить манипулированный X.509-сертификат гигабайтного размера - на практике такой сценарий маловероятен.

Отдельно компания отключила поддержку HTTP/2, чтобы устранить уязвимость CVE-2026-49975, описанную для Apache HTTP Server в июне. Проблема относится к модулю mod_http2 и позволяет злоумышленнику отправлять специальные HTTP-запросы, которые вызывают выделение памяти чрезмерного размера, что приводит к отказу в обслуживании (OOM). Уязвимость затрагивает Apache HTTP Server с версии 2.4.17 по 2.4.67 включительно. Поскольку KeeneticOS использует веб-сервер на базе Apache, отключение HTTP/2 стало необходимым шагом для защиты устройств.

Пользователям роутеров Keenetic рекомендуется установить прошивку версии 5.1.0 через стандартный интерфейс обновления. Отключение HTTP/2 не должно существенно повлиять на работу большинства домашних и офисных сетей, так как современные браузеры и приложения поддерживают более безопасные протоколы HTTP/3 и HTTPS. При этом владельцам корпоративных устройств, использующих HTTP/2 для проксирования или балансировки нагрузки, стоит учитывать возможное снижение производительности при параллельных соединениях.

Выпуск обновления Keenetic показывает, как производители сетевого оборудования вынуждены оперативно реагировать на уязвимости в сторонних компонентах - в данном случае в криптографической библиотеке OpenSSL и веб-сервере Apache. Подобные комплексные исправления становятся всё более регулярными, что отражает общий тренд на усложнение цепочек поставки программного обеспечения и рост требований к поддержке безопасности встроенных систем.

Детали уязвимостей

Ссылки