مسئله و دامنهٔ اثر
این CVE سرور QUIC در OpenSSL را در پیکربندی مشخصی تحت تأثیر قرار می‌دهد: اعتبارسنجی نشانی کلاینت غیرفعال شده باشد. حسابداری نادرست دادهٔ دریافتی می‌تواند سقف ضدتقویت ترافیک را نقض کند. مهاجمی که امکان جعل بسته داشته باشد ممکن است از سرور برای تقویت حملهٔ منع سرویس توزیع‌شده استفاده کند. وجود HTTPS به تنهایی اثبات نمی‌کند که سامانه در این دامنه قرار دارد.
در QUIC، تا پیش از تأیید نشانی طرف مقابل، میزان دادهٔ قابل ارسال محدود است. اشکال اینجاست که اندازهٔ یک دیتاگرام در بعضی مسیرهای پردازش بیش از یک بار به اعتبار دریافت‌شده اضافه می‌شود. سرور در نتیجه تصور می‌کند دادهٔ بیشتری دریافت کرده است. این رکورد مربوط به اجرای QUIC در OpenSSL است، نه تمام پیاده‌سازی‌های QUIC یا تمام سرویس‌های HTTP/3. ماژول FIPS در دامنهٔ این اشکال نیست.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
تشخیص مواجهه در سازمان
برای ارزیابی، کتابخانهٔ واقعی مورد استفادهٔ سرویس QUIC و وضعیت تنظیم اعتبارسنجی نشانی را ثبت کنید. در معماری دارای CDN یا پراکسی، مشخص کنید کدام جزء ارتباط UDP را خاتمه می‌دهد؛ نسخهٔ OpenSSL روی سرور مبدأ ممکن است ارتباطی با سرویس QUIC لبه نداشته باشد. نسبت حجم خروجی به ورودی، مقصدهای غیرمنتظره و افزایش نرخ بسته‌ها می‌تواند برای پایش مفید باشد، ولی به تنهایی نشانهٔ قطعی سوءاستفاده نیست.
آزمون و کاهش ریسک
پیش از تغییر پیکربندی، اثر فعال بودن اعتبارسنجی نشانی را روی کلاینت‌های مجاز و تجهیزات میانی در محیط کنترل‌شده بررسی کنید. حفظ یا بازگرداندن این کنترل، در صورت پشتیبانی برنامه و سازگاری عملیاتی، مواجهه با شرط توصیف‌شده را کاهش می‌دهد. محدودیت نرخ خروجی و کنترل‌های شبکه مکمل‌اند؛ اثبات رفع دائمی به نصب نسخهٔ اصلاح‌شده و بررسی اجرای همان نسخه نیاز دارد.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-35191 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
