مسئله و دامنهٔ اثر
این CVE اجازه می‌دهد یک دیتاگرام احرازنشده که به ارتباط DTLS 1.2 موجود هدایت شود، همان ارتباط را قطع کند. شرط فنی به پردازش رکورد AEAD کوتاه‌تر از سربار الزامی مربوط است. طبق سازنده، مهاجم برای این اثر به کلید رمزنگاری نیاز ندارد؛ اما باید بتواند دیتاگرام را به association هدف برساند. دامنهٔ پیامد، منع سرویس در همان ارتباط است.
پیاده‌سازی متأثر طول رکورد را پیش از پردازش AEAD به‌درستی کنترل نمی‌کند و رد شدن طول ناممکن را خطای داخلی مرگبار تلقی می‌کند. اصلاحیه ابتدا طول را اعتبارسنجی می‌کند تا DTLS رکورد نامعتبر را کنار بگذارد. در TLS 1.2 رفتار خطا نیز متفاوت بود، اما چون رکورد رمزگشایی‌ناپذیر از قبل اتصال TLS را پایان می‌دهد، سازنده آن بخش را مسئلهٔ انطباق پروتکل می‌داند. آسیب به ایمنی حافظه یا محرمانگی برای این CVE گزارش نشده و کد خارج از مرز FIPS است.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
| 3.4.0 | 3.4.8 |
| 3.0.0 | 3.0.23 |
| 1.1.1 | 1.1.1zj |
تشخیص مواجهه در سازمان
فهرست سرویس‌های DTLS را جدا از HTTPS تهیه کنید و نسخهٔ پروتکل و مجموعه‌رمز مؤثر را ثبت کنید. نرم‌افزارهای انتقال داده روی UDP یا اجزای ارتباط بلادرنگ ممکن است وابستگی پنهان داشته باشند. افزایش قطع و وصل به‌تنهایی مدرک حمله نیست؛ اختلال شبکه، NAT و زمان‌سنج‌ها نیز چنین نشانه‌ای می‌سازند. ارزیابی باید وضعیت نسخه، مسیر دریافت دیتاگرام و گزارش برنامه را با هم در نظر بگیرد.
آزمون و کاهش ریسک
بعد از ارتقا، برقراری و حفظ ارتباط DTLS و بازیابی ارتباط پس از قطع عادی را با کلاینت‌های مجاز آزمایش کنید. کنترل دسترسی UDP و محدودیت نرخ می‌توانند مواجهه را کاهش دهند، اما هر جا فرستندهٔ مجاز یا مسیر مشترک وجود دارد، به تنهایی درمان قطعی نیستند. برنامهٔ تغییر باید اثر روی نشست‌های فعال را پیش‌بینی کند؛ راه‌اندازی مجدد فرایند ممکن است همین نشست‌ها را خاتمه دهد و باید در پنجرهٔ مناسب انجام شود.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-75806 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
