مسئله و دامنهٔ اثر
CVE-2026-72897 به سرور TLS با پیکربندی خاص مربوط است: برنامه در میانهٔ handshake با SSL_set_SSL_CTX() یک context جدید جایگزین کند و context مقصد الگوریتم‌های امضای provider بیشتری بشناسد. در چنین حالتی دسترسی خارج از آرایهٔ داخلی ممکن است رخ دهد و به اختلال سرویس بینجامد. برنامه‌ای که این تابع را فراخوانی نمی‌کند از این اشکال متأثر نیست.
تعداد جایگاه‌های گواهی هنگام ایجاد اتصال ثبت می‌شود. تعویض context این شمارش را به‌درستی تازه نمی‌کرد و تفاوت مجموعهٔ الگوریتم‌ها می‌توانست شاخص نامعتبر بسازد. سازنده خواندن محدود خارج از محدوده و در شرایطی نوشتن مقدار ثابت را توصیف می‌کند؛ این صفحه آن را به ادعای اثبات‌شدهٔ اجرای کد تبدیل نمی‌کند. الگوریتم‌های provider در این مسیر به TLS 1.3 مربوط‌اند و پیکربندی پیش‌فرض نیست. کد متأثر خارج از مرز FIPS است و شدت رسمی Low تعیین شده است.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
| 3.4.0 | 3.4.8 |
تشخیص مواجهه در سازمان
برای بررسی، تیم توسعه باید callback انتخاب نام سرور و مسیرهای تعویض context را بازبینی کند. سپس تفاوت providerها و زمان بارگذاری آن‌ها بین context اولیه و مقصد ثبت شود. وجود چند میزبان مجازی به تنهایی کافی نیست؛ شرایط تفاوت الگوریتم‌ها نیز لازم است. در نرم‌افزار آماده، از سازنده دربارهٔ استفاده از این API و اصلاحیهٔ بسته‌شده سؤال کنید و از حدس بر اساس بنر TLS بپرهیزید.
آزمون و کاهش ریسک
پس از ارتقا، مذاکرهٔ TLS برای همهٔ میزبان‌های مجازی و مجموعه‌های provider مجاز آزموده شود. آزمون یک دامنهٔ پیش‌فرض ممکن است شاخهٔ آسیب‌پذیر انتخاب context را اصلاً پوشش ندهد. ثبت شکست‌های handshake و crashهای فرایند برای ارزیابی مفید است، اما هیچ‌کدام به‌تنهایی انتساب به این CVE را ثابت نمی‌کند. هماهنگ‌سازی پیکربندی contextها فقط وقتی راهکار موقت است که تیم فنی دامنه و سازگاری آن را تأیید کرده باشد.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-72897 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
