Plattform
openssl
Komponente
openssl
Behoben in
3.6.2
CVE-2026-28386 describes an out-of-bounds read vulnerability discovered in OpenSSL. This flaw occurs when applications utilizing AES-CFB128 encryption or decryption on systems equipped with AVX-512 and VAES support process partial cipher blocks, potentially leading to a Denial of Service crash. The vulnerability impacts OpenSSL versions 3.6.0 through 3.6.2, and a fix is available in version 3.6.2.
Die CVE-2026-28386 in OpenSSL betrifft Anwendungen, die AES-CFB128-Verschlüsselung oder -Entschlüsselung auf Systemen verwenden, die AVX-512 und VAES unterstützen. Eine Speicherüberschreitung von bis zu 15 Bytes kann ausgelöst werden, wenn partielle Verschlüsselungsblöcke verarbeitet werden. Obwohl keine Informationen preisgegeben werden, da die überschriebenen Bytes nicht in die Ausgabe geschrieben werden, kann diese Schwachstelle unter bestimmten Bedingungen zu einem Absturz der Anwendung führen. Das Risiko steigt, wenn der Eingabepuffer an einer Speicherseitengrenze endet und die folgende Seite nicht zugeordnet ist, was zu einer Denial-of-Service-(DoS)-Attacke führen kann. Die Schwere der Schwachstelle hängt von der Wahrscheinlichkeit dieser Bedingungen und der Auswirkung auf die Verfügbarkeit des Dienstes ab.
Die Ausnutzung von CVE-2026-28386 erfordert bestimmte Bedingungen: die Verwendung von AES-CFB128, das Vorhandensein von AVX-512 und VAES sowie das Ende des Eingabepuffers an einer Speicherseitengrenze mit einer nicht zugeordneten folgenden Seite. Dies macht die Ausnutzung weniger wahrscheinlich als bei allgemeineren Schwachstellen, stellt aber dennoch ein potenzielles Risiko dar. Angreifer könnten versuchen, die Eingabe zu manipulieren, um die Ausrichtungsbedingung zu erzwingen und einen Absturz der Anwendung auszulösen. Die Komplexität der Ausnutzung begrenzt ihren Umfang, macht die Notwendigkeit der Korrektur aber nicht überflüssig.
Exploit-Status
EPSS
0.07% (21% Perzentil)
Die Lösung zur Minderung von CVE-2026-28386 ist das Upgrade auf OpenSSL-Version 3.6.2 oder höher. Diese Version enthält eine Korrektur, die die Speicherüberschreitung verhindert. Es wird dringend empfohlen, dieses Update so schnell wie möglich anzuwenden, insbesondere in kritischen Umgebungen. Es wird auch empfohlen, die OpenSSL-Sicherheitseinstellungen und -Abhängigkeiten zu überprüfen, um sicherzustellen, dass aktualisierte Versionen und bewährte Sicherheitspraktiken implementiert sind. Die kontinuierliche Überwachung der Systeme auf potenzielle Exploits ist eine wichtige vorbeugende Maßnahme.
Actualice a OpenSSL versión 3.6.2 o superior para mitigar la vulnerabilidad. Esta actualización corrige un error de lectura fuera de límites en el modo AES-CFB-128 que puede causar una denegación de servicio en sistemas x86-64 con AVX-512 y VAES.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
AES-CFB128 ist ein Betriebsmodus für das AES-Blockchiffrierverfahren, das einen 128-Bit-Block verwendet. Es ist ein Blockchiffrierungsmodus, der zum Schutz sensibler Daten verwendet wird.
AVX-512 ist ein Satz von Befehlssatzerweiterungen für x86-Prozessoren, der vektorisierte Operationen auf 512-Bit-Daten ermöglicht. VAES ist eine AVX-512-Erweiterung, die beschleunigte Anweisungen für die AES-Verschlüsselung bereitstellt.
Überprüfen Sie die installierte OpenSSL-Version auf Ihrem System. Wenn Sie eine Version vor 3.6.2 verwenden, sind Sie anfällig. Sie können den Befehl openssl version in der Befehlszeile verwenden.
Vorübergehende Workarounds werden nicht empfohlen. Das Upgrade auf die gepatchte Version ist die beste Option. Das Vermeiden der Verwendung von AES-CFB128 auf anfälligen Systemen könnte eine Option sein, aber die Funktionalität der Anwendung beeinträchtigen.
Wenn Sie nicht sofort aktualisieren können, überwachen Sie Ihre Systeme auf verdächtige Aktivitäten und erwägen Sie die Implementierung zusätzlicher Sicherheitsmaßnahmen, wie z. B. Firewalls und Intrusion-Detection-Systeme.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.