Projekt OpenSSL vydal bezpečnostní aktualizace, které opravují čtrnáct zranitelností napříč implementacemi TLS, DTLS, QUIC, X.509 a kryptografických operací. Nejzávažnější z nich, CVE-2026–84782, se nachází v obsluze opakovaného přenosu zpráv během DTLS handshaku.
DTLS (Datagram Transport Layer Security) je varianta protokolu TLS určená pro komunikaci nad nespolehlivými datagramovými protokoly, typicky UDP. Poskytuje šifrování, ověřování protistrany a ochranu integrity přenášených dat, zároveň ale zachovává vlastnosti UDP, například nízkou režii a absenci nutnosti navazovat spojení na úrovni transportní vrstvy. Využívá se například pro VPN, VoIP, videokonference, streamování nebo komunikaci zařízení internetu věcí. Na rozdíl od klasického TLS musí DTLS počítat s tím, že pakety mohou být ztraceny, dorazit v jiném pořadí nebo být doručeny vícekrát.
Problém nastává ve chvíli, kdy je odesílání části handshake dočasně pozastaveno, protože transportní vrstva nemůže přijmout další data. Pokud mezitím vyprší časovač pro opakovaný přenos dřívější zprávy, OpenSSL může při opakovaném odesílání použít nesprávnou pozici ve vnitřním bufferu. V důsledku toho může protistraně odeslat části jiné zprávy nebo data z okolní paměti procesu v nešifrované podobě. Pokud čtení narazí na nepřístupnou oblast paměti, může dojít k pádu procesu a odepření služby.
Chyba se týká větví OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 a 1.0.2. Opraveny byly verze 4.0.3, 3.6.5, 3.5.9 a 3.4.8. Zákazníci s placenou podporou mají k dispozici také verze 3.0.23, 1.1.1zj a 1.0.2zs.
Správci by měli prověřit zejména VPN, VoIP, IoT a další aplikace využívající DTLS. Nestačí přitom aktualizovat pouze systémový balíček – některé produkty si vlastní kopii OpenSSL přibalují. Aktualizaci je proto nutné řešit také prostřednictvím dodavatele konkrétního zařízení nebo aplikace.
ČLÁNKY DO MAILU