مسئله و دامنهٔ اثر
در CVE-2026-54873، مسئله مقدار دادهٔ مفید نیست، بلکه حافظه‌ای است که برای نگه‌داری بسته‌های حامل آن حفظ می‌شود. طرف مقابل می‌تواند باعث شود پشتهٔ QUIC حافظهٔ بافر بسته را بیش از زمان لازم نگه دارد. این رفتار ظرفیت مصرف حافظه و اختلال در دسترس‌پذیری را ایجاد می‌کند. رکورد سازنده این اشکال را در دستهٔ تخصیص منابع بدون محدودیت مناسب قرار می‌دهد.
طراحی آسیب‌پذیر برای کاهش کپی، دادهٔ جریان را موقتاً در بافر بسته نگه می‌داشت. در بعضی الگوهای دریافت، حافظهٔ نگه‌داری‌شده بسیار بیشتر از داده‌ای می‌شد که واقعاً باید در صف جریان باقی بماند. اصلاح OpenSSL سربار حافظه را برای هر جریان محاسبه می‌کند و پس از گذشتن از آستانه، داده را به بافر جریان منتقل می‌کند. این مشکل در پیاده‌سازی QUIC و خارج از ماژول FIPS است؛ شدت رسمی آن Low اعلام شده است.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
| 3.4.0 | 3.4.8 |
تشخیص مواجهه در سازمان
در ارزیابی عملی، مصرف حافظهٔ مقیم فرایند را با حجم دادهٔ در انتظار تحویل به برنامه مقایسه کنید. اختلاف این دو می‌تواند دلایل متعدد داشته باشد، اما برای یافتن فشار ناشی از سربار بافر مهم است. بررسی کنید برنامه با چه سرعتی داده را مصرف می‌کند، چه تعداد جریان هم‌زمان دارد و محدودیت حافظهٔ کانتینر چیست. استفاده از QUIC در محصولی با کتابخانهٔ دیگر، به خودی خود این رکورد را قابل اعمال نمی‌کند.
آزمون و کاهش ریسک
پس از نصب اصلاحیه، انتقال‌های کوچک و بزرگ و رفتار برنامه در هنگام کند شدن مصرف‌کننده را با بار مجاز آزمایش کنید. هدف آزمون، اندازه‌گیری سقف حافظه و سلامت انتقال است، نه بازتولید حمله روی سامانهٔ عمومی. محدود کردن هم‌زمانی و تعریف هشدار نزدیک شدن به سقف حافظه می‌تواند زمان واکنش را افزایش دهد. افزایش صرف ظرفیت RAM ممکن است وقوع اختلال را عقب بیندازد، اما نقص نگه‌داری بافر را رفع نمی‌کند.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-54873 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
