مسئله و دامنهٔ اثر
اشکال CVE-2026-42772 در هزینهٔ پردازشی بازسازی جریان QUIC است. دریافت نامرتب قطعه‌ها می‌تواند کار الگوریتم را به‌صورت نامتناسب افزایش دهد. طبق توضیح سازنده، طرف مقابل باید handshake را کامل کند و می‌تواند با مصرف پهنای باند نسبتاً کم، فشار CPU در محدودهٔ اتصال ایجاد کند. پیامد احتمالی کاهش دسترس‌پذیری است؛ این رکورد آسیب‌پذیری حافظه یا شکستن رمزنگاری را گزارش نمی‌کند.
پیاده‌سازی آسیب‌پذیر برای نگهداری قطعه‌های دریافتی از فهرستی استفاده می‌کند که در حالت‌های خاص به جست‌وجوی خطی نیاز دارد. تکرار این هزینه باعث پیچیدگی درجه‌دو می‌شود. اهمیت دفاعی آن این است که حجم ترافیک لزوماً با هزینهٔ پردازش همبستگی ندارد. کنترل‌هایی که فقط مجموع بایت‌ها را می‌سنجند ممکن است افزایش بار را به‌خوبی منعکس نکنند. سازنده شدت را Low ارزیابی کرده و کد QUIC را خارج از مرز FIPS معرفی می‌کند.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
| 3.4.0 | 3.4.8 |
تشخیص مواجهه در سازمان
دارایی‌های مرتبط، سرویس‌ها و کلاینت‌هایی هستند که واقعاً از QUIC داخلی OpenSSL استفاده می‌کنند. برای هر کدام نرخ مصرف پردازنده، تأخیر درخواست‌ها، تعداد اتصال‌های فعال و رفتار صف‌ها را کنار هم ببینید. بالا بودن CPU در هنگام اختلال شبکه می‌تواند علت‌های عادی داشته باشد؛ انتساب آن به این CVE نیازمند انطباق نسخه و مسیر کد و بررسی شواهد است. صرف مشاهدهٔ بسته‌های نامرتب، مدرک حمله محسوب نمی‌شود.
آزمون و کاهش ریسک
پس از ارتقا، انتقال عادی داده را در شرایط تأخیر و جابه‌جایی متعارف بسته‌ها در آزمایشگاه بررسی کنید. معیار پذیرش باید هم سلامت ارتباط و هم بازگشت مصرف منابع به محدودهٔ مورد انتظار باشد. برای کاهش ریسک تا زمان تعمیر، سقف اتصال و منابع سرویس را متناسب با ظرفیت تعیین کنید و برای اختلال یک جزء، مسیر جایگزین عملیاتی داشته باشید؛ این کنترل‌ها نقص الگوریتم را برطرف نمی‌کنند.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-42772 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
