OpenSSL исправил уязвимости в QUIC, CMS и AES-GCM-SIV

Уведомление о безопасности OpenSSL от 10 ноября 2026 года описывает ошибки в трёх разных частях библиотеки. Исправления уже внесены в публичный репозиторий на GitHub, релизы с ними выйдут 1 декабря 2026 года. Уровень опасности всех записей - Low. Сведений об эксплуатации в реальных атаках источники не приводят.

Содержание

Где нашлись ошибки
Какие версии затронуты
Ссылки

Где нашлись ошибки

Низкая оценка отражает условия атаки, а не последствия. Чтобы сработала любая из ошибок, приложение должно вызвать определённый программный интерфейс либо соединиться с определённым сервером. Поэтому обновление важнее всего для тех, кто работает с QUIC и CMS напрямую, а не только держит TLS-терминатор. Модули FIPS ни одну из перечисленных ошибок не затрагивают.

QUIC: адрес из стека и освобождённая память

Уязвимость CVE-2026-88822 связана с автоматическим определением адреса собеседника. Если приложение уже имеет подключённый сокет, стек QUIC узнаёт адрес партнёра системным вызовом и передаёт ему буфер с запасом, но длину меньше нужной для IPv6. Вызов возвращает полную длину адреса, и стек принимает её как действительную. В адресе назначения остаются неинициализированные байты стека, а исходящие пакеты уходят не туда. Соединение рвётся, а пассивный наблюдатель в сети получает содержимое стека. Затронуты ветки 4.1, 4.0 и 3.5; версии 3.0, 1.1.1 и 1.0.2 к этой ошибке невосприимчивы.

Уязвимость CVE-2026-95691 работает в обратную сторону. Вредоносный сервер повторно передаёт кадр CRYPTO, который полностью перекрывает уже принятый. Стек освобождает память пакета, хотя обработчик записей TLS ещё держит на неё указатель. Дальнейшая обработка читает освобождённую память: клиент падает, а сервер может узнать один байт рядом с областью выделения. Условие одно - клиент на OpenSSL устанавливает QUIC-соединение с сервером злоумышленника.

AES-GCM-SIV: служебные данные и длина вектора

Уязвимость CVE-2026-88823 касается дополнительных аутентифицированных данных, AAD. Так называют служебный блок, который шифр заверяет вместе с сообщением. Если приложение передаёт AAD несколькими порциями и одна из них пустая, реализация сбрасывает всё накопленное раньше. Проверка подлинности перестаёт покрывать эти данные, и злоумышленник подменяет их. Та же ошибка при повторной инициализации переносила накопленный AAD в следующее сообщение. После исправления пустое обновление ничего не меняет, а AAD очищается при установке нового ключа или nonce.

Вторая ошибка, CVE-2026-95692, связана с длиной вектора инициализации. Реализация копирует его во внутреннее состояние по ожидаемому размеру, а не по фактическому. Слишком короткий вектор приводит к чтению за границей буфера в куче, слишком длинный молча обрезается вместо отказа. Лишние байты не влияют на тег, поэтому тот, кто видел сообщение с тегом под одним вектором, соберёт сообщение и тег, проходящие проверку под другим вектором с совпадающим началом. Само сообщение не меняется - ломается привязка тега к вектору. Проявляется ошибка только у приложений, передающих вектор длиной, отличной от стандартных 12 байт.

CMS: сертификат, на котором шифрование не завершается

Уязвимость CVE-2026-107496 затрагивает шифрование CMS. Функции шифруют сообщение получателям, перечисленным в сертификатах, и для получателя с эллиптической кривой создают одноразовый ключ в его группе. Если сертификат объявляет порядок группы равным единице, случайный скаляр может быть только нулём. Генератор повторяет попытку без ограничения и не возвращает управление. Вызов зависает и занимает одно ядро процессора, пока процесс не прервут.

Атака требует, чтобы приложение приняло сертификат получателя от злоумышленника и выбрало шифрование на него. Пути TLS и QUIC эту функцию не используют. В OpenSSL 4.0 и новее явные группы эллиптических кривых отклоняются в сборке по умолчанию, поэтому ошибка проявляется только при сборке с поддержкой явных параметров. Теперь генерация ключа завершается ошибкой, если действительного ненулевого скаляра нет.

Какие версии затронуты

Релизы запланированы на 1 декабря 2026 года. Пользователям 4.1 нужна версия 4.1.1, ветке 4.0 - 4.0.4, ветке 3.5 - 3.5.10. Эти выпуски закрывают все перечисленные ошибки.

Ветки 3.0, 1.1.1 и 1.0.2 затронуты только ошибкой в CMS. Исправления для них доступны по платной поддержке: 3.0.24, 1.1.1zk и 1.0.2zt. До установки стоит проверить, шифрует ли ваше приложение сообщения CMS на сертификаты из недоверенных источников. Обходных мер источники не приводят.