مسئله و دامنهٔ اثر
این آسیب‌پذیری به مصرف حافظه هنگام پردازش افزونه‌های گواهی مربوط است. گواهی دارای تعداد زیادی نقطهٔ توزیع CRL از نوع nameRelativeToCRLIssuer می‌تواند حافظه‌ای بسیار بیشتر از اندازهٔ ورودی اشغال کند. پیامد تأییدشده فشار حافظه و احتمال اختلال سرویس در کلاینت‌ها یا سرورهایی است که گواهی کلاینت درخواست می‌کنند؛ این رکورد ادعای سرقت کلید یا اجرای فرمان ندارد.
OpenSSL هنگام ساخت حافظهٔ نهان افزونه‌های X.509 پردازشی انجام می‌داد که می‌توانست دادهٔ نسبتاً کوچک گواهی را به تخصیص بزرگ حافظه تبدیل کند. اصلاح سازنده پردازش نقاط توزیع را تا زمانی که برای بررسی CRL لازم شود به تعویق می‌اندازد. این موضوع خارج از مرز ماژول FIPS است. شدت رسمی سازنده Low است، اما کمبود حافظه در یک سرویس کوچک یا چند اتصال هم‌زمان می‌تواند اهمیت عملی آن را افزایش دهد.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
| 3.4.0 | 3.4.8 |
| 3.0.0 | 3.0.23 |
| 1.1.1 | 1.1.1zj |
| 1.0.2 | 1.0.2zs |
تشخیص مواجهه در سازمان
ابتدا کلاینت‌هایی را پیدا کنید که به سرورهای خارج از کنترل سازمان متصل می‌شوند، سپس درگاه‌های دارای احراز هویت متقابل TLS را بررسی کنید. تنها جست‌وجوی وب‌سرورهای عمومی کافی نیست؛ عامل‌های جمع‌آوری داده، سرویس‌های داخلی و ابزارهای اتوماسیون نیز ممکن است گواهی طرف مقابل را پردازش کنند. مصرف حافظهٔ فرایند، تعداد اتصال‌های هم‌زمان و رخدادهای خاتمه به علت کمبود حافظه، شاخص‌های مفید بررسی عملیاتی‌اند.
آزمون و کاهش ریسک
در محیط آزمایشی، اتصال‌های معمول با زنجیرهٔ گواهی معتبر و بررسی وضعیت ابطال را تکرار کنید. هدف، اطمینان از ادامهٔ صحت اعتبارسنجی پس از ارتقاست؛ غیرفعال کردن بررسی گواهی یا CRL راه‌حل قابل‌قبولی نیست. کاهش موقت هم‌زمانی اتصال‌ها و محدودیت منابع می‌تواند دامنهٔ اختلال را کنترل کند، اما جایگزین اصلاح کتابخانه نمی‌شود.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-35189 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
