遠端 Debian 13 主機已安裝的套件會受到 dsa-6531 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6531-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 9 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：openssl CVE ID： CVE-2026-35189 CVE-2026-35191 CVE-2026-42772 CVE-2026-54872 CVE-2026-54873 CVE-2026-54875 CVE-2026-72897 CVE-2026-75804 CVE-2026-75805 CVE-2026-75806 CVE-2026-77696 CVE-2026-84782 CVE-2026-84784

    在安全通訊端層工具包 OpenSSL 中發現多個漏洞，可能導致拒絕服務、資訊洩露或可能恢復私鑰。

    如需其他詳細資訊，請參閱上游公告：
    https://openssl-library.org/news/secadv/20260929.txt

    對於穩定版 （trixie），這些問題已在 3.5.7-1~deb13u3 版中修正。

    建議您升級 openssl 套件。

    如需有關 openssl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/openssl

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 版本為 1.1.1zj 之前的版本。因此，會受到 1.1.1zj 公告中所提及的多個弱點影響。

  - 問題摘要：DTLS 的重傳邏輯無法正確處理在寫入過程中被暫停的握手訊息。重新傳輸的訊息可以透過訊息緩衝區讀取，而且重新傳輸會覆寫暫停寫入正確繼續所需的內部狀態。影響摘要：重新傳輸的訊息可能會將堆記憶體以明文握手資料的形式洩露給對端，或當讀取操作觸及未映射的記憶體區域時，導致系統當機並引發拒絕服務攻擊。CWE：CWE-125：越界讀取 說明：DTLS 握手訊息可分為多個片段寫入，若底層傳輸層暫時無法接受更多資料，寫入操作可能會在訊息中途暫停（並回傳 WANT_WRITE）。當此類寫入操作被暫停時，DTLS 重傳計時器可能會獨立觸發，並要求重傳邏輯從其重傳佇列中重新傳送一則較早、且已確認送達的訊息。 
    重傳邏輯重複使用了與仍在寫入中的訊息相同的內部緩衝區和位置追蹤機制，卻未將位置重設回待重傳訊息的起始處。 
    因此，重傳資料是從暫停寫入處中斷的位置開始讀取的，這導致產生了一則標籤錯誤的訊息，其內容體是由另一則仍在傳輸中的較大訊息所殘留的位元組——這些內容本不該在該時刻傳送，且可能超出已分配緩衝區的範圍。 此外，即使轉發操作已正確定位，若在另一項寫入操作被暫停期間仍讓轉發操作執行至完成，將會覆寫該暫停寫入操作所依賴的相同共用帳務記錄，而該寫入操作正是仰賴此記錄才能恢復執行。 當應用程式稍後繼續暫停的寫入時 （透過後續的 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 呼叫），它會發現該簿記處於與訊息不一致的狀態，並在除錯組建中中止處理程序。此修正程式會在重新傳送之前，將重新傳輸的讀取位置重設為訊息的開頭，並在交握寫入仍暫停時完全略過重新傳輸，並延遲到下一個繼續它的呼叫。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-84782)

  - 問題摘要：當 OpenSSL 快取 X.509 延伸資訊時，若憑證包含多個 nameRelativeToCRLIssuer CRL 分發點，將導致堆記憶體過度增長。影響摘要：從惡意對等接收特製的憑證可能會導致用戶端或索取用戶端憑證的伺服器造成嚴重的記憶體壓力，並可能發生拒絕服務。CWE：CWE-770：無限制或無限流的資源分配 說明：若憑證或一組憑證的大小未超過對等方所接受的憑證大小限制（約 100 KiB），則在正常的 TLS 握手過程中，可能會導致接收端分配數百 MiB 的駐留記憶體。 如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。此修正程式會將憑證中 CRL 發佈點延伸模組的處理延遲至 CRL 處理需要處理值的時間。這可避免在收到此類憑證時，長時間保留大型記憶體配置。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-35189)

  - 問題摘要：用於 ECDSA 和 SM2 簽名運算的通用橢圓曲線標量乘法，若所使用的曲線未具備專用實作，則會透過時間洩露有關秘密非ce的資訊。 影響摘要：若攻擊者能夠測量簽名時間，便可能獲取關於每個簽名所對應的機密隨機數（nonce）的資訊；當累積足夠多的簽名時，攻擊者便可透過格理論／隱數問題攻擊，進而復原私鑰。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 及其他通用質數曲線上使用 ECDSA 簽名，以及在使用通用實作的平台上使用 SM2 簽名的應用程式，均易受此問題影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

  - 問題摘要：使用 AEAD 加密套件已建立的 DTLS 1.2 關聯可能會由單一未經驗證的資料包終止，其加密片段短於必要的明確 IV 和驗證標籤額外負荷。影響摘要：攻擊者若能傳送路由傳送至現有 DTLS 1.2 關聯的資料包，就可以在不知道任何金鑰資料的情況下拆除該關聯。這是僅限於目標關聯的拒絕服務。不會對記憶體安全或機密性造成影響。CWE：CWE-1284：輸入描述中指定數量的驗證不當：在 TLS 1.2 和 DTLS 1.2 中，受 AEAD 加密套件保護的每筆記錄都會帶有明確的 IV，後面接著加密文和驗證標籤。解密這類記錄時，記錄層會先將記錄長度傳遞至加密實作，然後再檢查記錄是否足夠長以包含明確的 IV 和標籤。若記錄長度短於該上限，加密實作會拒絕此不合規的長度，而記錄層則將此視為內部錯誤，並觸發致命的 internal_error 警示，而非將該記錄視為驗證失敗的記錄。在TLS 1.2 情況下，相同的記錄會導致重大internal_error警示，而不是預期的bad_record_mac警示。由於任何無法解密的記錄都已終止 TLS 連線，因此這是通訊協定一致性問題，而不是 TLS 中的安全性問題。此修正程式會在進行任何 AEAD 處理之前，根據明確的 IV 和標籤長度驗證記錄長度，以便TLS報告bad_record_mac和 DTLS 以無訊息方式捨棄記錄。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-75806)

  - 問題摘要：SM2 簽章產生對秘密值使用非恆定時間算術，形成計時旁路。影響摘要：若攻擊者能夠測量 SM2 簽名時間，便可能獲取關於每個簽名所對應的機密隨機數（nonce）的資訊；當累積足夠多的簽名時，攻擊者便可透過格理論／隱數問題攻擊，進而復原私鑰。CWE：CWE-208：可觀察的時序差異 描述：SM2 簽章產生使用對秘密隨機數和私鑰的可變時間 BIGNUM 操作來計算簽章值，因此產生 SM2 簽章所需的時間取決於這些秘密值，從而形成計時旁路。執行 SM2 簽章產生的應用程式會在所有平台上受到影響。FIPS 影響：否 SM2 不是 FIPS 演算法。（CVE-2026-77696）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 問題摘要：使用 AEAD 加密套件已建立的 DTLS 1.2 關聯可能會由單一未經驗證的資料包終止，其加密片段短於必要的明確 IV 和驗證標籤額外負荷。影響摘要：攻擊者若能傳送路由傳送至現有 DTLS 1.2 關聯的資料包，就可以在不知道任何金鑰資料的情況下拆除該關聯。這是僅限於目標關聯的拒絕服務。不會對記憶體安全或機密性造成影響。CWE：CWE-1284：輸入描述中指定數量的驗證不當：在 TLS 1.2 和 DTLS 1.2 中，受 AEAD 加密套件保護的每筆記錄都會帶有明確的 IV，後面接著加密文和驗證標籤。解密這類記錄時，記錄層會先將記錄長度傳遞至加密實作，然後再檢查記錄是否足夠長以包含明確的 IV 和標籤。若記錄長度短於該上限，加密實作會拒絕此不合規的長度，而記錄層則將此視為內部錯誤，並觸發致命的 internal_error 警示，而非將該記錄視為驗證失敗的記錄。在TLS 1.2 情況下，相同的記錄會導致重大internal_error警示，而不是預期的bad_record_mac警示。由於任何無法解密的記錄都已終止 TLS 連線，因此這是通訊協定一致性問題，而不是 TLS 中的安全性問題。此修正程式會在進行任何 AEAD 處理之前，根據明確的 IV 和標籤長度驗證記錄長度，以便TLS報告bad_record_mac和 DTLS 以無訊息方式捨棄記錄。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-75806)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 OpenSSL 為 4.0.3 之前版本。因此，它會受到 4.0.3 公告中所提及的多個弱點影響。

  - 問題摘要：DTLS 重新傳輸邏輯無法正確處理中途暫停的交握訊息寫入。重新傳輸的訊息可以透過訊息緩衝區讀取，而且重新傳輸會覆寫暫停寫入正確繼續所需的內部狀態。影響摘要：重新傳輸的訊息可能會將堆積記憶體以純文字交握資料的形式洩漏給對等，或在讀取到達未對應的記憶體區域時導致當機和拒絕服務。CWE：CWE-125：越界讀取 說明：DTLS 交握訊息可以寫入多個片段中，如果基礎傳輸暫時無法接受更多資料，則寫入可以暫停訊息中間 （傳回 WANT_WRITE）。當這類寫入暫停時，DTLS 重新傳輸計時器可能會獨立觸發，並要求重新傳輸邏輯從其重新傳輸佇列重新傳送較早的已確認為已傳送訊息。
    重新傳輸邏輯會重複使用與仍在寫入之訊息相同的內部緩衝區及位置追蹤，而不會將位置重設回正在重新傳輸之訊息的開頭。
    結果，從暫停的寫入中斷的位置開始讀取重新傳輸，產生標記錯誤的訊息，其正文是另一則仍在傳輸中的較大訊息的剩餘位元組 - 當時從未打算傳送的內容，並且可能會超過分配的緩衝區的末端。另外，即使重新傳輸的位置正確，允許它在暫停另一個寫入時執行到完成，也會覆寫暫停寫入恢復所依賴的相同共用簿記。當應用程式稍後繼續暫停的寫入時 （透過後續的 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 呼叫），它會發現該簿記處於與訊息不一致的狀態，並在除錯組建中中止處理程序。此修正程式會在重新傳送之前，將重新傳輸的讀取位置重設為訊息的開頭，並在交握寫入仍暫停時完全略過重新傳輸，並延遲到下一個繼續它的呼叫。FIPS 影響：否 受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-84782）

  - 問題摘要：當 OpenSSL 快取 X.509 延伸模組時，具有許多 nameRelativeToCRLIssuer CRL 發佈點的憑證會導致不成比例的堆積成長。影響摘要：從惡意對等接收特製的憑證可能會導致用戶端或索取用戶端憑證的伺服器造成嚴重的記憶體壓力，並可能發生拒絕服務。CWE：CWE-770：無限制或節流的資源配置說明：符合對等接受的憑證大小限制 （~100 KiB） 的憑證或一組憑證，可能會導致在正常 TLS 交握期間，在接收端配置數百 MiB 的常駐記憶體。如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。此修正程式會將憑證中 CRL 發佈點延伸模組的處理延遲至 CRL 處理需要處理值的時間。這可避免在收到此類憑證時，長時間保留大型記憶體配置。FIPS 影響：否 受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-35189）

  - 問題摘要：當 OpenSSL QUIC 伺服器設定為不執行位址驗證時，可能會被迫在其未經驗證的信用計算中多次計算傳入封包，從而導致違反 RFC 9000 未經驗證的連線放大限制，即接收資料量的 3 倍。影響摘要：能夠使用 OpenSSL QUIC 實作將封包詐騙至伺服器的遠端攻擊者可能會利用該伺服器來放大 DDoS 攻擊。CWE：CWE-440：預期行為違規說明：OpenSSL 的 QUIC 堆疊在作為伺服器運作時，會強制執行用戶端位址驗證 （RFC 9000，第 8 節），以確認對等位址未用於流量放大攻擊。如果在伺服器上停用此功能，則 QUIC 堆疊會將可傳送的伺服器資料量限制為從對等位址接收的資料量的 3 倍，直到 TLS 交握完成為止。OpenSSL QUIC 伺服器在非驗證模式下運作時，會在處理資料包中的每個 QUIC 封包時，將收到的整個資料包長度新增至未驗證的信用額度。遠端對等體在與初始用戶端 hello 框架建立連線後，可能會傳送包含多個 QUIC 封包的後續資料包，導致伺服器考慮資料包中每個封包的整個資料包長度，導致伺服器認為對等體發送的資料比實際多，從而違反了 RFC 規定的 3 倍放大限制。FIPS 影響：否 由於 QUIC 堆疊位於 FIPS 模組邊界之外，因此沒有 FIPS 模組會受到此 CVE 的影響。
    (CVE-2026-35191)

  - 問題摘要：QUIC 資料流重組演算法效能會隨著封包無序到達而逐漸惡化。最壞的情況是，二次複雜度與所接收資料流資料的緩衝區中保留的資料流畫面數目成正比。影響摘要：完成交握的遠端 QUIC 對等可能會在通告的接收視窗內使用合規的 STREAM 框架，造成連線範圍的 CPU 壓力，並可能造成拒絕服務，且攻擊者頻寬較低。CWE：CWE-407：
    低效的演算法複雜性描述：OpenSSL 使用雙鍊錶來管理收到的 QUIC 串流片段。雖然它針對附加作業 （在清單結尾） 進行最佳化，但對於不緊接在目前「尾部」之後的任何片段，它會回復為從頭到尾的線性搜尋。透過操縱偏移序列，攻擊者可以強制伺服器執行 O（n^2） 操作，從而消耗過多的 QUIC 進程 CPU 時間。FIPS 影響：無 FIPS 模組不受此問題影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-42772)

  - 問題摘要：用於 ECDSA 和 SM2 簽章作業的通用橢圓曲線純量乘法，其曲線沒有專用實作，會透過計時洩漏有關秘密隨機數的資訊。影響摘要：能夠測量簽署時間的攻擊者可能會瞭解每個簽章秘密隨機數的相關資訊，透過許多簽名，可以透過格子/隱藏號碼問題攻擊，導致私密金鑰復原。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 和其他通用主要曲線上使用 ECDSA 簽名的應用程序，以及在使用通用實現的平台上使用 SM2 簽名的應用程序，容易受到此問題的影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 為 3.4.8 之前版本。因此，它會受到 3.4.8 公告中所提及的多個弱點影響。

  - 問題摘要：DTLS 重新傳輸邏輯無法正確處理中途暫停的交握訊息寫入。重新傳輸的訊息可以透過訊息緩衝區讀取，而且重新傳輸會覆寫暫停寫入正確繼續所需的內部狀態。影響摘要：重新傳輸的訊息可能會將堆積記憶體以純文字交握資料的形式洩漏給對等，或在讀取到達未對應的記憶體區域時導致當機和拒絕服務。CWE：CWE-125：越界讀取 說明：DTLS 交握訊息可以寫入多個片段中，如果基礎傳輸暫時無法接受更多資料，則寫入可以暫停訊息中間 （傳回 WANT_WRITE）。當這類寫入暫停時，DTLS 重新傳輸計時器可能會獨立觸發，並要求重新傳輸邏輯從其重新傳輸佇列重新傳送較早的已確認為已傳送訊息。
    重新傳輸邏輯會重複使用與仍在寫入之訊息相同的內部緩衝區及位置追蹤，而不會將位置重設回正在重新傳輸之訊息的開頭。
    結果，從暫停的寫入中斷的位置開始讀取重新傳輸，產生標記錯誤的訊息，其正文是另一則仍在傳輸中的較大訊息的剩餘位元組 - 當時從未打算傳送的內容，並且可能會超過分配的緩衝區的末端。另外，即使重新傳輸的位置正確，允許它在暫停另一個寫入時執行到完成，也會覆寫暫停寫入恢復所依賴的相同共用簿記。當應用程式稍後繼續暫停的寫入時 （透過後續的 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 呼叫），它會發現該簿記處於與訊息不一致的狀態，並在除錯組建中中止處理程序。此修正程式會在重新傳送之前，將重新傳輸的讀取位置重設為訊息的開頭，並在交握寫入仍暫停時完全略過重新傳輸，並延遲到下一個繼續它的呼叫。FIPS 影響：否 受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-84782）

  - 問題摘要：當 OpenSSL 快取 X.509 延伸模組時，具有許多 nameRelativeToCRLIssuer CRL 發佈點的憑證會導致不成比例的堆積成長。影響摘要：從惡意對等接收特製的憑證可能會導致用戶端或索取用戶端憑證的伺服器造成嚴重的記憶體壓力，並可能發生拒絕服務。CWE：CWE-770：無限制或節流的資源配置說明：符合對等接受的憑證大小限制 （~100 KiB） 的憑證或一組憑證，可能會導致在正常 TLS 交握期間，在接收端配置數百 MiB 的常駐記憶體。如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。此修正程式會將憑證中 CRL 發佈點延伸模組的處理延遲至 CRL 處理需要處理值的時間。這可避免在收到此類憑證時，長時間保留大型記憶體配置。FIPS 影響：否 受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-35189）

  - 問題摘要：QUIC 資料流重組演算法效能會隨著封包無序到達而逐漸惡化。最壞的情況是，二次複雜度與所接收資料流資料的緩衝區中保留的資料流畫面數目成正比。影響摘要：完成交握的遠端 QUIC 對等可能會在通告的接收視窗內使用合規的 STREAM 框架，造成連線範圍的 CPU 壓力，並可能造成拒絕服務，且攻擊者頻寬較低。CWE：CWE-407：
    低效的演算法複雜性描述：OpenSSL 使用雙鍊錶來管理收到的 QUIC 串流片段。雖然它針對附加作業 （在清單結尾） 進行最佳化，但對於不緊接在目前「尾部」之後的任何片段，它會回復為從頭到尾的線性搜尋。透過操縱偏移序列，攻擊者可以強制伺服器執行 O（n^2） 操作，從而消耗過多的 QUIC 進程 CPU 時間。FIPS 影響：無 FIPS 模組不受此問題影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-42772)

  - 問題摘要：用於 ECDSA 和 SM2 簽章作業的通用橢圓曲線純量乘法，其曲線沒有專用實作，會透過計時洩漏有關秘密隨機數的資訊。影響摘要：能夠測量簽署時間的攻擊者可能會瞭解每個簽章秘密隨機數的相關資訊，透過許多簽名，可以透過格子/隱藏號碼問題攻擊，導致私密金鑰復原。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 和其他通用主要曲線上使用 ECDSA 簽名的應用程序，以及在使用通用實現的平台上使用 SM2 簽名的應用程序，容易受到此問題的影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

  - 問題摘要：QUIC 處理程序可能會將 QUIC 封包緩衝區的記憶體保留比必要的時間長得多。
    影響摘要：遠端對等程式可傳送惡意特製的封包，使本機 QUIC 堆疊保持封包緩衝區的記憶體配置，藉此惡意利用此弱點。記憶體維持配置的時間完全由潛在的惡意遠端對等體控制。CWE：CWE-770：
    沒有限制或節流的資源配置 說明：為了將複製作業從封包緩衝區儲存到資料流重組緩衝區，QUIC 堆疊會將資料流資料保留在封包緩衝區上，等待複製到本機接收應用程式所提供的緩衝區。只有在將資料複製到應用程式緩衝區之後，QUIC 堆疊才會釋放對封包緩衝區的參照。此設計對於合法的數據傳輸更有效率，但可讓攻擊者配置比保留在接收資料流緩衝區中的數據實際所需的記憶體多得多。為了緩解此漏洞，QUIC 堆疊現在會計算和監控每個資料流的記憶體額外負荷。單一資料流程框架的記憶體額外負荷會計算為承載資料流程框架的整個封包大小與資料流程框架本身大小之間的差異。單一串流框架的記憶體額外負荷會新增至每個串流的 QUIC 堆疊保留的總 （累積） 記憶體額外負荷。一旦累積記憶體額外負荷超過 64kB，QUIC 堆疊就會從收到的下一個封包開始，將資料流程框架資料從封包緩衝區移動到串流緩衝區。FIPS 影響：無 FIPS 模組不受此問題影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-54873)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 openssl11 版本低於 1.1.1zj-1。因此，它會受到 ALAS2-2026-3991 公告中所提及的多個弱點影響。

    問題摘要：當 OpenSSL 快取 X.509 延伸模組時，具有多個 nameRelativeToCRLIssuer CRL 分發點的憑證會導致不成比例的堆積成長。

    影響摘要：從惡意對等接收特製的憑證可能會導致嚴重的記憶體壓力，並可能導致用戶端或索取用戶端憑證的伺服器發生拒絕服務。

    CWE： CWE-770：無限制或節流的資源配置

    說明：符合對等接受的憑證大小限制 （~100 KiB） 的憑證或一組憑證，可能會導致在正常 TLS 交握期間，在接收端配置數百 MiB 的常駐記憶體。如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。

    此修正程式會將 CRL 發佈點延伸模組的處理推遲到 CRL 處理需要處理值的時間。這可避免在收到此類憑證時長時間保留大型記憶體配置。

    FIPS 影響：否受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-35189）

    問題摘要：用於 ECDSA 和 SM2 簽章作業的通用橢圓曲線純量乘法，其曲線沒有專用實作，會透過計時洩露有關秘密隨機數的資訊。

    影響摘要：能夠測量簽署時間的攻擊者可能會得知有關每個簽章密碼 nonce 的資訊，透過格子/隱藏號碼問題攻擊，在多次簽章掃描中，導致私密金鑰的復原。

    CWE：CWE-208：可觀察到的時序差異

    描述：用於沒有專用常量時間實作的曲線的通用橢圓曲線純量乘法會使用非常量時間 BIGNUM 運算填充秘密純量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機數派生的秘密純量的值。

    洩漏非常小;觀察它需要大量的測量。對於組順序位於機器字邊界的曲線，例如 brainpoolP384r1，這種影響最大。

    在 Brainpool 和其他通用 primecurves 上使用 ECDSA 簽名的應用程序，以及在使用通用實現的平台上使用 SM2 簽名的應用程序，容易受到此問題的影響。

    NIST 曲線 P-256、P-384 和 P-521 使用專用的常數時間實作，不受影響。

    FIPS 影響：否FIPS 模組不受影響：FIPSprovider 中使用的核准 NIST 曲線具有專用的恆定時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

    問題摘要：使用 AEAD 加密套件已建立的 DTLS 1.2 關聯可能會由單一未經驗證的資料包終止，該資料包的加密片段短於必要的明確 IV 和驗證標籤額外負荷。

    影響摘要：攻擊者若能傳送路由至現有 DTLS 1.2 關聯的資料包，就可以在不知道任何金鑰資料的情況下拆除該關聯。這是僅限於目標關聯的拒絕服務。不會對記憶體安全或機密性造成影響。

    CWE：CWE-1284：輸入中指定數量的驗證不當

    說明：在 TLS 1.2 和 DTLS 1.2 中，受 AEAD 加密套件保護的每筆記錄都帶有明確的 IV，後面接著加密文字和驗證標籤。解密這類記錄時，記錄層會先將記錄長度傳遞至加密實作，然後再檢查記錄是否足夠長以包含明確的 IV 和標籤。對於短於該額外負荷的記錄，加密實作會拒絕不可能的長度，而記錄層會將此視為內部故障並引發重大internal_error警示，而不是將記錄視為驗證失敗的記錄。

    在TLS 1.2 中，相同的記錄會導致重大internal_error警示，而不是預期的bad_record_mac警示。由於任何無法解密的記錄都已終止 TLS 連線，因此這是通訊協定一致性問題，而不是 TLS 中的安全性問題。

    此修正程式會在進行任何 AEAD 處理之前，根據明確的 IV 和標籤長度驗證記錄長度，以便TLS報告bad_record_mac，DTLS以無訊息方式捨棄記錄。

    FIPS 影響：否受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-75806）

    在 OpenSSL 中發現一個缺陷。資料包傳輸層安全性 （DTLS） 重新傳輸機制無法正確處理在完成前暫停的交握訊息寫入。遠端攻擊者可在交握訊息重新傳輸期間利用此弱點，導致 OpenSSL 讀取訊息緩衝區或覆寫恢復寫入所需的內部狀態。此問題可能會透過越界記憶體讀取導致資訊洩露，或透過損毀處理程序而造成拒絕服務 （DoS）。（CVE-2026-84782）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 為 3.5.9 之前版本。因此，它會受到 3.5.9 公告中所提及的多個弱點影響。

  - 問題摘要：DTLS 的重傳邏輯無法正確處理在寫入過程中被暫停的握手訊息。重新傳輸的訊息可以透過訊息緩衝區讀取，而且重新傳輸會覆寫暫停寫入正確繼續所需的內部狀態。影響摘要：重新傳輸的訊息可能會將堆記憶體以明文握手資料的形式洩露給對端，或當讀取操作觸及未映射的記憶體區域時，導致系統當機並引發拒絕服務攻擊。CWE：CWE-125：越界讀取 說明：DTLS 握手訊息可分為多個片段寫入，若底層傳輸層暫時無法接受更多資料，寫入操作可能會在訊息中途暫停（並回傳 WANT_WRITE）。當此類寫入操作被暫停時，DTLS 重傳計時器可能會獨立觸發，並要求重傳邏輯從其重傳佇列中重新傳送一則較早、且已確認送達的訊息。 
    重傳邏輯重複使用了與仍在寫入中的訊息相同的內部緩衝區和位置追蹤機制，卻未將位置重設回待重傳訊息的起始處。 
    因此，重傳資料是從暫停寫入處中斷的位置開始讀取的，這導致產生了一則標籤錯誤的訊息，其內容體是由另一則仍在傳輸中的較大訊息所殘留的位元組——這些內容本不該在該時刻傳送，且可能超出已分配緩衝區的範圍。 此外，即使轉發操作已正確定位，若在另一項寫入操作被暫停期間仍讓轉發操作執行至完成，將會覆寫該暫停寫入操作所依賴的相同共用帳務記錄，而該寫入操作正是仰賴此記錄才能恢復執行。 當應用程式稍後繼續暫停的寫入時 （透過後續的 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 呼叫），它會發現該簿記處於與訊息不一致的狀態，並在除錯組建中中止處理程序。此修正程式會在重新傳送之前，將重新傳輸的讀取位置重設為訊息的開頭，並在交握寫入仍暫停時完全略過重新傳輸，並延遲到下一個繼續它的呼叫。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-84782)

  - 問題摘要：當 OpenSSL 快取 X.509 延伸資訊時，若憑證包含多個 nameRelativeToCRLIssuer CRL 分發點，將導致堆記憶體過度增長。影響摘要：從惡意對等接收特製的憑證可能會導致用戶端或索取用戶端憑證的伺服器造成嚴重的記憶體壓力，並可能發生拒絕服務。CWE：CWE-770：無限制或無限流的資源分配 說明：若憑證或一組憑證的大小未超過對等方所接受的憑證大小限制（約 100 KiB），則在正常的 TLS 握手過程中，可能會導致接收端分配數百 MiB 的駐留記憶體。 如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。此修正程式會將憑證中 CRL 發佈點延伸模組的處理延遲至 CRL 處理需要處理值的時間。這可避免在收到此類憑證時，長時間保留大型記憶體配置。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-35189)

  - 問題摘要：OpenSSL QUIC 伺服器在設定為不執行位址驗證時，會被強制在其未驗證信用額度計算中多次計入傳入封包，從而導致違反 RFC 9000 未驗證連線的放大限制，即不得超過已接收資料量的 3 倍。影響摘要：能夠對使用 OpenSSL QUIC 實作的伺服器偽造封包的遠端攻擊者，可能會利用該伺服器來放大 DDoS 攻擊。CWE：CWE-440：預期行為違規 說明：OpenSSL 的 QUIC 堆疊在作為伺服器運作時，會強制執行用戶端位址驗證 (RFC 9000 第 8 節)，以確認對等節點位址未用於流量放大攻擊。如已在伺服器上停用此功能，則 QUIC 堆疊會將可傳送的伺服器資料量限制為從對等節點位址所接收之資料量的 3 倍，直到 TLS 交握完成為止。OpenSSL QUIC 伺服器在非驗證模式下運作時，會在處理資料包中的每個 QUIC 封包時，將收到的整個資料包長度加至未驗證的信用額度中。遠端對等節點可能在與初始 Client Hello 框架建立連線後，發送一個包含多個 QUIC 封包的後續資料包，導致伺服器將該資料包中的每個封包都計入整體資料包長度，致使伺服器誤以為對等節點傳送的資料量超過實際傳送量，從而違反 RFC 所規定的 3 倍放大限制。FIPS 影響：沒有 FIPS 模組會受此 CVE 影響，因為 QUIC 堆疊位於 FIPS 模組邊界之外。
    (CVE-2026-35191)

  - 問題摘要：QUIC 資料流重組演算法效能會隨封包以亂序抵達而逐漸劣化。最壞的情況是，與所接收資料流資料的緩衝區中所保留的資料流幀數成正比。影響摘要：完成交握的遠端 QUIC 對等節點可利用通告的接收視窗內符合規範的 STREAM 框架，以低攻擊者頻寬在連線範圍內造成 CPU 壓力，並可能導致拒絕服務。CWE：CWE-407：
    低效的演算法複雜程度 說明：OpenSSL 使用雙重連結清單來管理接收到的 QUIC 串流片段。雖然它針對附加作業 (在清單結尾) 進行了最佳化，但對於任何並非緊接在當前 `tail` 之後的片段，它會退回到從頭到尾的線性搜尋。透過操縱位移序列，攻擊者可以強制伺服器執行 O(n^2) 操作，從而消耗 QUIC 處理程序過多的 CPU 時間。FIPS 影響：無 FIPS 模組不受此問題影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-42772)

  - 問題摘要：用於 ECDSA 和 SM2 簽章運算的通用橢圓曲線標量乘法，若所使用的曲線未具備專用實作，則會透過時間洩露有關秘密隨機數的資訊。 影響摘要：若攻擊者能夠測量簽名時間，便可能獲取關於每個簽名所對應的機密隨機數（nonce）的資訊；當累積足夠多的簽名時，攻擊者便可透過格理論／隱數問題攻擊，進而復原私鑰。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 及其他通用質數曲線上使用 ECDSA 簽名，以及在使用通用實作的平台上使用 SM2 簽名的應用程式，均易受此問題影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1792414477 公告中提及的多個弱點影響。

  - 問題摘要：用於 ECDSA 和 SM2 簽章運算的通用橢圓曲線標量乘法，若所使用的曲線未具備專用實作，則會透過時間洩露有關秘密隨機數的資訊。 影響摘要：若攻擊者能夠測量簽名時間，便可能獲取關於每個簽名所對應的機密隨機數（nonce）的資訊；當累積足夠多的簽名時，攻擊者便可透過格理論／隱數問題攻擊，進而復原私鑰。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 及其他通用質數曲線上使用 ECDSA 簽名，以及在使用通用實作的平台上使用 SM2 簽名的應用程式，均易受此問題影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

  - 問題摘要：根據 PKCS#10 CSR 要求撤銷憑證的 CMP 用戶端可能會在處理特製的撤銷回應時，解除參照 NULL 指標並異常終止。影響摘要：該 NULL 指標解除參照問題發生於執行讀取操作時，這會導致受影響的用戶端應用程式崩潰並發生拒絕服務。CWE：CWE-476：NULL 指標解除參照 說明：撤銷憑證的 CMP 用戶端必須告訴伺服器要撤銷哪個憑證，並且可以透過提供 PKCS#10 CSR (而不是憑證本身或其簽發者名稱和序號) 來執行此操作。這是命令列上的「openssl cmp -cmd rr -csr <file>」，或透過 API 使用 OSSL_CMP_exec_RR_ses() 並經由 OSSL_CMP_CTX_set1_p10CSR() 提供憑證的 OSSL_CMP_exec_RR_ses()。CSR 不包含憑證的簽發者名稱和序號，因此用戶端不會傳送這些資訊。伺服器或可選擇在其回應中指明它所撤銷的憑證，用戶端接著會將該名稱與它所發送的內容進行比對。由於用戶端既未發送簽發者名稱也未發送序號，它沒有任何資訊可供比對，而伺服器會傳回一個特製的名稱讓用戶端從 NULL 指標讀取並導致當機。在撤銷回應抵達受影響的程式碼之前，系統會檢查該回應有無有效的訊息保護，因此攻擊者必須是惡意或遭入侵的 CMP 伺服器，或是擁有用於訊息保護之密碼的中間人。
    以憑證或簽發者與序號 (而非 PKCS#10 CSR) 來識別待撤銷憑證的用戶端不會受到影響。FIPS 影響：由於 CMP 通訊協定實作位於 OpenSSL FIPS 模組邊界之外，因此沒有 FIPS 模組會受到此問題的影響。(CVE-2026-75805)

  - 問題摘要：使用 AEAD 加密套件已建立的 DTLS 1.2 關聯可能會由單一未經驗證的資料包終止，其加密片段短於必要的明確 IV 和驗證標籤額外負擔 。影響摘要：攻擊者若能傳送路由傳送至現有 DTLS 1.2 關聯的資料包，就可以在不知道任何金鑰資料的情況下拆除該關聯。這是僅限於目標關聯的拒絕服務。不會對記憶體安全或機密性造成影響。CWE：CWE-1284：輸入描述中指定數量的驗證不當：在 TLS 1.2 和 DTLS 1.2 中，受 AEAD 加密套件保護的每筆記錄都會帶有明確的 IV，後面接著加密文和驗證標籤。解密這類記錄時，記錄層會先將記錄長度傳遞至加密實作，然後再檢查記錄是否足夠長以包含明確的 IV 和標籤。若記錄長度短於該上限，加密實作會拒絕此不合規的長度，而記錄層則將此視為內部錯誤，並觸發致命的 internal_error 警示，而非將該記錄視為驗證失敗的記錄。在TLS 1.2 情況下，相同的記錄會導致重大internal_error警示，而不是預期的bad_record_mac警示。由於任何無法解密的記錄都已終止 TLS 連線，因此這是通訊協定一致性問題，而不是 TLS 中的安全性問題。此修正程式會在進行任何 AEAD 處理之前，根據明確的 IV 和標籤長度驗證記錄長度，以便TLS報告bad_record_mac和 DTLS 以無訊息方式捨棄記錄。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-75806)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 為 3.6.5 之前版本。因此，它會受到 3.6.5 公告中所提及的多個弱點影響。

  - 問題摘要：DTLS 的重傳邏輯無法正確處理在寫入過程中被暫停的握手訊息。重新傳輸的訊息可以透過訊息緩衝區讀取，而且重新傳輸會覆寫暫停寫入正確繼續所需的內部狀態。影響摘要：重新傳輸的訊息可能會將堆記憶體以明文握手資料的形式洩露給對端，或當讀取操作觸及未映射的記憶體區域時，導致系統當機並引發拒絕服務攻擊。CWE：CWE-125：越界讀取 說明：DTLS 握手訊息可分為多個片段寫入，若底層傳輸層暫時無法接受更多資料，寫入操作可能會在訊息中途暫停（並回傳 WANT_WRITE）。當此類寫入操作被暫停時，DTLS 重傳計時器可能會獨立觸發，並要求重傳邏輯從其重傳佇列中重新傳送一則較早、且已確認送達的訊息。 
    重傳邏輯重複使用了與仍在寫入中的訊息相同的內部緩衝區和位置追蹤機制，卻未將位置重設回待重傳訊息的起始處。 
    因此，重傳資料是從暫停寫入處中斷的位置開始讀取的，這導致產生了一則標籤錯誤的訊息，其內容體是由另一則仍在傳輸中的較大訊息所殘留的位元組——這些內容本不該在該時刻傳送，且可能超出已分配緩衝區的範圍。 此外，即使轉發操作已正確定位，若在另一項寫入操作被暫停期間仍讓轉發操作執行至完成，將會覆寫該暫停寫入操作所依賴的相同共用帳務記錄，而該寫入操作正是仰賴此記錄才能恢復執行。 當應用程式稍後繼續暫停的寫入時 （透過後續的 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 呼叫），它會發現該簿記處於與訊息不一致的狀態，並在除錯組建中中止處理程序。此修正程式會在重新傳送之前，將重新傳輸的讀取位置重設為訊息的開頭，並在交握寫入仍暫停時完全略過重新傳輸，並延遲到下一個繼續它的呼叫。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-84782)

  - 問題摘要：當 OpenSSL 快取 X.509 延伸資訊時，若憑證包含多個 nameRelativeToCRLIssuer CRL 分發點，將導致堆記憶體過度增長。影響摘要：從惡意對等接收特製的憑證可能會導致用戶端或索取用戶端憑證的伺服器造成嚴重的記憶體壓力，並可能發生拒絕服務。CWE：CWE-770：無限制或無限流的資源分配 說明：若憑證或一組憑證的大小未超過對等方所接受的憑證大小限制（約 100 KiB），則在正常的 TLS 握手過程中，可能會導致接收端分配數百 MiB 的駐留記憶體。 如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。此修正程式會將憑證中 CRL 發佈點延伸模組的處理延遲至 CRL 處理需要處理值的時間。這可避免在收到此類憑證時，長時間保留大型記憶體配置。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-35189)

  - 問題摘要：OpenSSL QUIC 伺服器在設定為不執行位址驗證時，會被強制在其未驗證信用額度計算中多次計入傳入封包，從而導致違反 RFC 9000 未驗證連線的放大限制，即不得超過已接收資料量的 3 倍。影響摘要：能夠對使用 OpenSSL QUIC 實作的伺服器偽造封包的遠端攻擊者，可能會利用該伺服器來放大 DDoS 攻擊。CWE：CWE-440：預期行為違規 說明：OpenSSL 的 QUIC 堆疊在作為伺服器運作時，會強制執行用戶端位址驗證 (RFC 9000 第 8 節)，以確認對等節點位址未用於流量放大攻擊。如已在伺服器上停用此功能，則 QUIC 堆疊會將可傳送的伺服器資料量限制為從對等節點位址所接收之資料量的 3 倍，直到 TLS 交握完成為止。OpenSSL QUIC 伺服器在非驗證模式下運作時，會在處理資料包中的每個 QUIC 封包時，將收到的整個資料包長度加至未驗證的信用額度中。遠端對等節點可能在與初始 Client Hello 框架建立連線後，發送一個包含多個 QUIC 封包的後續資料包，導致伺服器將該資料包中的每個封包都計入整體資料包長度，致使伺服器誤以為對等節點傳送的資料量超過實際傳送量，從而違反 RFC 所規定的 3 倍放大限制。FIPS 影響：沒有 FIPS 模組會受此 CVE 影響，因為 QUIC 堆疊位於 FIPS 模組邊界之外。
    (CVE-2026-35191)

  - 問題摘要：QUIC 資料流重組演算法效能會隨封包以亂序抵達而逐漸劣化。最壞的情況是，與所接收資料流資料的緩衝區中所保留的資料流幀數成正比。影響摘要：完成交握的遠端 QUIC 對等節點可利用通告的接收視窗內符合規範的 STREAM 框架，以低攻擊者頻寬在連線範圍內造成 CPU 壓力，並可能導致拒絕服務。CWE：CWE-407：
    低效的演算法複雜程度 說明：OpenSSL 使用雙重連結清單來管理接收到的 QUIC 串流片段。雖然它針對附加作業 (在清單結尾) 進行了最佳化，但對於任何並非緊接在當前 `tail` 之後的片段，它會退回到從頭到尾的線性搜尋。透過操縱位移序列，攻擊者可以強制伺服器執行 O(n^2) 操作，從而消耗 QUIC 處理程序過多的 CPU 時間。FIPS 影響：無 FIPS 模組不受此問題影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-42772)

  - 問題摘要：用於 ECDSA 和 SM2 簽章運算的通用橢圓曲線標量乘法，若所使用的曲線未具備專用實作，則會透過時間洩露有關秘密隨機數的資訊。 影響摘要：若攻擊者能夠測量簽名時間，便可能獲取關於每個簽名所對應的機密隨機數（nonce）的資訊；當累積足夠多的簽名時，攻擊者便可透過格理論／隱數問題攻擊，進而復原私鑰。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 及其他通用質數曲線上使用 ECDSA 簽名，以及在使用通用實作的平台上使用 SM2 簽名的應用程式，均易受此問題影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-3204 公告中所提及的多個弱點影響。

    問題摘要：當 OpenSSL 快取 X.509 延伸模組時，具有多個 nameRelativeToCRLIssuer CRL 分發點的憑證會導致不成比例的堆積成長。

    影響摘要：從惡意對等接收特製的憑證可能會導致嚴重的記憶體壓力，並可能導致用戶端或索取用戶端憑證的伺服器發生拒絕服務。

    CWE： CWE-770：無限制或節流的資源配置

    說明：符合對等接受的憑證大小限制 （~100 KiB） 的憑證或一組憑證，可能會導致在正常 TLS 交握期間，在接收端配置數百 MiB 的常駐記憶體。如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。

    此修正程式會將 CRL 發佈點延伸模組的處理推遲到 CRL 處理需要處理值的時間。這可避免在收到此類憑證時長時間保留大型記憶體配置。

    FIPS 影響：否受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-35189）

    問題摘要：當 OpenSSL QUIC 伺服器配置為不執行位址驗證時，可能會被迫在其 SUNVALIDATED 信用計算中多次計算傳入封包，從而導致違反 RFC 9000未經驗證的連線放大限制，即接收資料量的 3 倍。

    影響摘要：能夠使用 OpenSSL QUIC 實作將封包欺騙到伺服器的遠端攻擊者可能會利用該伺服器來放大 DDoS 攻擊。

    CWE：CWE-440：預期行為違規

    說明：OpenSSL 的 QUIC 堆疊在作為伺服器運作時，會強制執行用戶端位址驗證 （RFC 9000，第 8 節），以確認對等位址未用於流量放大攻擊。如果在伺服器上停用此功能，則 QUIC 堆疊會將可傳送的伺服器資料量限制為從對等位址接收的資料量的 3 倍，直到 TLS 交握完成為止。

    OpenSSL QUIC 伺服器在非驗證模式下運作時，會在處理資料包中的每個 QUIC 封包時，將收到的整個資料包長度新增至未經驗證的信用額度。遠端對等體可能會在與初始用戶端 hello 幀建立連接後，發送包含多個 QUIC 封包的後續資料包，導致伺服器考慮資料包中每個封包的整個資料包長度，導致伺服器認為對等體發送的資料比實際多，從而違反了 RFC 規定的 3 倍放大限制。

    FIPS 影響：否由於 QUIC 堆疊位於 FIPS 模組邊界之外，因此不會有任何 FIPS 模組受到此 CVE 影響。（CVE-2026-35191）

    問題摘要：QUIC 資料流重組演算法效能會隨著封包無序到達而逐漸惡化。最壞的情況是，二次複雜度與保留在所接收資料流資料緩衝區中的資料流畫面數目成正比。

    影響摘要：完成交握的遠端 QUIC 對等可能會使用通告接收視窗內合規的 STREAM 框架，以低攻擊者頻寬造成連線範圍的 CPU 壓力，並可能造成拒絕服務。

    CWE：CWE-407：低效的演算法複雜性

    說明：OpenSSL 使用雙重連結清單管理收到的 QUIC 串流片段。雖然它針對附加作業 （在清單結尾） 進行了最佳化，但它會回復為從頭到尾的線性搜尋，以尋找任何不緊接在目前「尾部」之後的片段。

    透過操縱偏移序列，攻擊者可以強制伺服器執行 O（n^2） 操作，從而佔用過多的 CPU 時間用於 QUIC 進程。

    FIPS 影響：否FIPS 模組不會受到影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。（CVE-2026-42772）

    問題摘要：用於 ECDSA 和 SM2 簽章作業的通用橢圓曲線純量乘法，其曲線沒有專用實作，會透過計時洩露有關秘密隨機數的資訊。

    影響摘要：能夠測量簽署時間的攻擊者可能會得知有關每個簽章密碼 nonce 的資訊，透過格子/隱藏號碼問題攻擊，在多次簽章掃描中，導致私密金鑰的復原。

    CWE：CWE-208：可觀察到的時序差異

    描述：用於沒有專用常量時間實作的曲線的通用橢圓曲線純量乘法會使用非常量時間 BIGNUM 運算填充秘密純量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機數派生的秘密純量的值。

    洩漏非常小;觀察它需要大量的測量。對於組順序位於機器字邊界的曲線，例如 brainpoolP384r1，這種影響最大。

    在 Brainpool 和其他通用 primecurves 上使用 ECDSA 簽名的應用程序，以及在使用通用實現的平台上使用 SM2 簽名的應用程序，容易受到此問題的影響。

    NIST 曲線 P-256、P-384 和 P-521 使用專用的常數時間實作，不受影響。

    FIPS 影響：否FIPS 模組不受影響：FIPSprovider 中使用的核准 NIST 曲線具有專用的恆定時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

    問題摘要： QUIC 處理程序可能會將 QUIC 封包緩衝區的記憶體保留比必要的時間長得多。

    影響摘要：遠端對等體可藉由傳送惡意特製的封包來利用此弱點，使 localQUIC 堆疊保留封包緩衝區的記憶體配置。記憶體維持配置的時間完全由潛在的惡意遠端對等體控制。

    CWE： CWE-770：無限制或節流的資源配置

    說明：若要將複製作業從封包緩衝區儲存到串流重組緩衝區，QUIC 堆疊會將資料流資料留在封包緩衝區上，等待複製到本機接收應用程式所提供的緩衝區。只有在將資料複製到應用程式緩衝區之後，QUIC 堆疊才會釋放對封包緩衝區的參照。這種設計對於合法數據傳輸更有效，但使攻擊者能夠配置比保存在接收流緩衝區中的數據實際所需的更多的內存。

    為了緩解此漏洞，QUIC 堆疊現在會計算並監控每個資料流的記憶體額外負荷。
    單一資料流程框架的記憶體額外負荷會計算為承載資料流程框架的整個封包大小與資料流程框架本身大小之間的差異。單一資料流框架的記憶體額外負荷會新增至每個資料流程的總 （累積） 記憶體額外負荷 QUIC 堆疊保留中。
    一旦累積記憶體額外負荷超過 64kB，QUIC 堆疊就會從收到的下一個封包開始，將串流框架資料從封包緩衝區移至串流緩衝區。

    FIPS 影響：否FIPS 模組不會受到影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。（CVE-2026-54873）

    問題摘要：呼叫 SSL_set_SSL_CTX（） 以透過交握中途切換連線至不同 SSL_CTX 的 TLS 伺服器，如果取代內容知道的提供者簽章演算法多於建立連線的內容，則可能會存取超出內部陣列結尾的記憶體。
    從不呼叫 SSL_set_SSL_CTX（） 的應用程式不會受到影響。

    影響摘要：遠端對等節點可能能夠在伺服器堆積上造成小型越界讀取，並在某些情況下造成固定值越界寫入。這可能會導致拒絕服務。

    CWE：CWE-787：越界寫入

    說明：TLS 連線會記錄建立時具有的憑證插槽數量，取自建立它的 SSL_CTX：內建憑證類型加上每個提供者 TLS-SIGALG 項目的一個插槽，該內容已知道。該計數會調整每個插槽憑證有效性旗標的內部陣列大小。

    應用程式可以透過呼叫 SSL_set_SSL_CTX（） 來取代連線的 SSL_CTX（），最常見的是從伺服器名稱回呼，以便為不同的虛擬主機提供服務。
    這樣做不會重新整理記錄的計數。提供者簽章演算法的插槽索引是解析它的上下文清單中的位置，因此，如果替換上下文知道的比原始上下文多，則對等提供的演算法可以解析為陣列末尾之外的索引。然後處理對等體的簽名算法，為每個此類算法讀取一個超過末尾的四個字節字，並在讀取字為零時，在其上寫入一個固定值。提供其中許多的對等可能會損毀堆積中繼資料並中止處理程序。

    只有佔用其中一個多餘插槽且伺服器也已設定的提供者簽章演算法才有此效果。替換上下文無法識別的代碼點在未解析到插槽的情況下被丟棄，並且提供者簽名算法只能從 TLS 1.3使用。

    因此，這兩個內容必須知道不同數量的提供者簽名演算法，這需要單獨的程式庫內容、在正在建立的兩者之間載入的提供者，或其公告內容不同的提供者 - 例如 4.0，預設提供者通告 SM2，而 FIPS 提供者則不這樣做。符合條件的部署也無法與合法用戶端協商受影響的演算法，因為相同的過時計數會隱藏對應的憑證，因此 themisconfiguration 很可能會被注意到。因此，由於設定不是預設設定，因此此問題已評估為「低」嚴重性。

    FIPS 影響：否，此問題不會影響任何 FIPS 模組，因為受影響的程式碼位於 OpenSSL FIPS 模組邊界之外。（CVE-2026-72897）

    問題摘要：OpenSSL QUIC 堆疊不會對資料流強制執行連線層級流量控制。遠端對等體可以傳送更多位元組，只要它們符合串流流量控制限制。

    影響摘要：惡意遠端對等可能會利用資料流缺少連線流程控制，使 QUIC 堆疊接收 ~100MB 的記憶體，而不是 768 KiB （預設的流量控制視窗大小）。

    CWE： CWE-770：無限制或節流的資源配置

    說明：本機 QUIC 堆疊會向其遠端對等體通告兩個流量控制限制：串流流量控制限制和連線流量控制限制。遠端對等體在傳輸串流資料時必須遵循這兩個限制。

    每當本機 QUIC 堆疊收到資料流框架時，它都會驗證所接收的資料流框架大小是否保持在流量控制限制內。如果超過任一限制 （資料流層級或連線層級），則 QUIC 堆疊必須因流量控制錯誤而關閉連線。

    易受攻擊的 OpenSSL QUIC 堆疊會強制執行串流層級限制，但不會強制執行連線層級限制。若要利用此問題，必須符合三個條件：- 遠端對等體開啟數個資料流 - 每個資料流必須保持在資料流層級流量控制限制內 - 任何資料流上都不得傳送零位移位元組 （以防止易受攻擊的 QUIC 堆疊耗用資料）。通過滿足上述條件，遠程對等體可以使本地堆棧分配 2 x MAX_STREAMS x （流流控制限制） 位元組的內存。
    MAX_STREAMS預設為 100，此限制同時適用於雙向和單向串流，總共 200 個。資料流的預設流量控制視窗為 512kB。遠端對等可能會強制易受攻擊的 QUIC 堆疊為每個連線配置 100MB 的堆積。

    FIPS 影響：否FIPS 模組不會受到影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。（CVE-2026-75804）

    問題摘要：根據 CSR 要求撤銷憑證 PKCS#10 的 CMP 用戶端可能會取消參照 NULL 指標，並在處理特製的撤銷回應時異常終止。

    影響摘要：讀取時會發生 NULL 指標解除參照，這會導致受影響用戶端應用程式當機和拒絕服務。

    CWE： CWE-476：NULL 指標解除參照

    說明：撤銷憑證的 CMP 用戶端必須告訴伺服器要撤銷哪個憑證，並且可以透過提供 PKCS#10 CSR 而不是憑證本身或其發行者名稱和序號來執行此操作。這是命令列上的「openssl cmp -cmd rr -csr <file>」，orOSSL_CMP_exec_RR_ses（），憑證透過 API viaOSSL_CMP_CTX_set1_p10CSR（） 提供。

    CSR 不包含憑證的發行者名稱和序號，因此用戶端不會傳送它們。伺服器可以選擇性地命名其在回應中撤銷的憑證，然後用戶端會將該名稱與其傳送的內容進行比較。既沒有傳送簽發者名稱，也沒有傳送序列號，因此沒有任何可比較的內容，而且傳回特製名稱的伺服器會導致用戶端從 NULL 指標讀取並當機。

    在到達受影響的程式碼之前，系統會檢查撤銷回應是否有有效的訊息保護，因此攻擊者必須是惡意或遭入侵的 CMP 伺服器，或是擁有用於訊息保護的密碼的中間人。識別要由憑證或簽發者和序號（而不是 PKCS#10 由 CSR 撤銷）的憑證的用戶端不會受到影響。

    FIPS 影響：否，此問題不會影響任何 FIPS 模組，因為 CMP 通訊協定實作位於 OpenSSL FIPS 模組邊界之外。（CVE-2026-75805）

    問題摘要：使用 AEAD 加密套件已建立的 DTLS 1.2 關聯可能會由單一未經驗證的資料包終止，該資料包的加密片段短於必要的明確 IV 和驗證標籤額外負荷。

    影響摘要：攻擊者若能傳送路由至現有 DTLS 1.2 關聯的資料包，就可以在不知道任何金鑰資料的情況下拆除該關聯。這是僅限於目標關聯的拒絕服務。不會對記憶體安全或機密性造成影響。

    CWE：CWE-1284：輸入中指定數量的驗證不當

    說明：在 TLS 1.2 和 DTLS 1.2 中，受 AEAD 加密套件保護的每筆記錄都帶有明確的 IV，後面接著加密文字和驗證標籤。解密這類記錄時，記錄層會先將記錄長度傳遞至加密實作，然後再檢查記錄是否足夠長以包含明確的 IV 和標籤。對於短於該額外負荷的記錄，加密實作會拒絕不可能的長度，而記錄層會將此視為內部故障並引發重大internal_error警示，而不是將記錄視為驗證失敗的記錄。

    在TLS 1.2 中，相同的記錄會導致重大internal_error警示，而不是預期的bad_record_mac警示。由於任何無法解密的記錄都已終止 TLS 連線，因此這是通訊協定一致性問題，而不是 TLS 中的安全性問題。

    此修正程式會在進行任何 AEAD 處理之前，根據明確的 IV 和標籤長度驗證記錄長度，以便TLS報告bad_record_mac，DTLS以無訊息方式捨棄記錄。

    FIPS 影響：否受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-75806）

    在 OpenSSL 中發現一個缺陷。資料包傳輸層安全性 （DTLS） 重新傳輸機制無法正確處理在完成前暫停的交握訊息寫入。遠端攻擊者可在交握訊息重新傳輸期間利用此弱點，導致 OpenSSL 讀取訊息緩衝區或覆寫恢復寫入所需的內部狀態。此問題可能會透過越界記憶體讀取導致資訊洩露，或透過損毀處理程序而造成拒絕服務 （DoS）。（CVE-2026-84782）

    問題摘要：惡意遠端對等可能會避免對遠端 QUIC 堆疊可以使用多少個連線 ID 進行限制檢查，從而使用NEW_CONNECTION_ID框架淹沒本機 QUICstack。

    影響摘要：本機 QUIC 堆疊會針對收到的每個 NEW_CONNECTION_ID 框架傳送一個 RETIRE_CONN_ID 框架。RETIRE_CONN_IDframe會透過控制框架佇列 （CFQ） 分派。如果遠端對等體也保留 ACK，則可以強制本機堆疊配置 ~400MB （視 ACK 延遲而定）。

    CWE： CWE-770：無限制或節流的資源配置

    描述：RFC 9000 部分 5.1.1 和 5.1.2 [1] 描述了遠端對等體可以通知本機 QUIC 堆疊變更本機堆疊用來識別遠端對等體連線的目標連線 ID （又稱 CID） 的機制。每個 CID 都與序號相關聯。序號在 NEW_CONNECTION_ID 和 RETIRE_CONNECTION_ID 幀中傳輸，以識別與連接相關聯或已淘汰的 CID。

    遠端對等會傳送 NEW_CONNECTION_ID 框架，讓本機堆疊知道新的 CID 正在與現有連線相關聯。TheNEW_CONNECTION_ID幀帶有新的 CID、其序號和 retire-prior-to 編號。retire-prior-to 會識別要淘汰的現有 CID。本機 QUIC 堆疊必須針對序號小於 retire-prior-to 的每個目的地 CID 傳送 aRETIRE_CONNECTION_ID。在本機堆疊收到其RETIRE_CONNECTION_ID框架的 ACK 之後，CID 就會淘汰。

    雖然 OpenSSL QUIC 堆疊最多支援每個連線一個目的地 CID，但它可能會被誘騙為每個連線處理多個 RETIRE_CONNECTION_ID 框架。OpenSSL QUICstack 目前會在收到NEW_CONNECTION_ID後立即淘汰目的地 CID，而實際上，目的地 CID 必須在收到 RETIRE_CONNECTION_ID 框架的 ACK 後淘汰。修正有缺陷的邏輯也會修正待辦專案成長。

    [1] https://datatracker.ietf.org/doc/html/rfc9000#name-issuing-connection-ids

    FIPS 影響：否FIPS 模組不會受到影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。（CVE-2026-84784）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS 主機上安裝的套件受到 USN-8847-1 公告中所提及的多個弱點影響。

    研究發現，OpenSSL 對某些憑證撤銷清單（CRL）分發點名稱的處理方式有誤。攻擊者可能利用此問題造成 OpenSSL 消耗過多\記憶體，進而導致拒絕服務。(CVE-2026-35189)

    據發現，OpenSSL 錯誤地處理了 QUIC 未經驗證的放大信用會計。攻擊者可能利用此問題造成拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-35191)

    據發現，OpenSSL 錯誤地對非 NIST 橢圓曲線實施了純量乘法。
    攻擊者可能利用此漏洞執行計時側通道攻擊，並取得敏感資訊。(CVE-2026-54872)

    據發現，OpenSSL 在 ARM64 及 RISC-V 架構上，對 SM2 標量乘法實作有誤。攻擊者可能利用此漏洞執行計時側通道攻擊，並取得敏感資訊。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-54875)

    據發現，OpenSSL 在 TLS 交握期間錯誤地處理 SSL 內容切換。攻擊者可能利用此漏洞引發越界讀取，進而導致服務拒絕或竊取敏感資訊。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-72897)

    據發現，OpenSSL 錯誤地對資料流強制執行 QUIC 連線層級流量控制。攻擊者可能利用此問題造成 OpenSSL 消耗過多\記憶體，進而導致拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-75804)

    據發現，OpenSSL 在 CMP 用戶端撤銷回應處理中錯誤地處理 NULL 指標。攻擊者可能利用此問題造成拒絕服務。(CVE-2026-75805)

    據發現，OpenSSL 在身份驗證前錯誤地處理了尺寸過小的 DTLS 1.2 AEAD 記錄。
    攻擊者可能利用此問題造成拒絕服務。(CVE-2026-75806)

    據發現，OpenSSL 錯誤地實現了 SM2 簽名生成。攻擊者可能利用此漏洞執行計時側通道攻擊，並取得敏感資訊。
    (CVE-2026-77696)

    據發現，OpenSSL 在處理 DTLS 握手訊息的重傳時存在錯誤。攻擊者可能利用此漏洞，導致握手程序出現異常，或引發服務拒絕攻擊。
    (CVE-2026-84782)

    據發現，OpenSSL 錯誤地處理了 QUIC RETIRE_CONNECTION_ID框架。攻擊者可能利用此問題造成 OpenSSL 消耗過多\記憶體，進而導致拒絕服務。
    這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-84784)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 為 3.0.23 之前版本。因此，它會受到 3.0.23 公告中所提及的多個弱點影響。

  - 問題摘要：DTLS 的重傳邏輯無法正確處理在寫入過程中被暫停的握手訊息。重新傳輸的訊息可以透過訊息緩衝區讀取，而且重新傳輸會覆寫暫停寫入正確繼續所需的內部狀態。影響摘要：重新傳輸的訊息可能會將堆記憶體以明文握手資料的形式洩露給對端，或當讀取操作觸及未映射的記憶體區域時，導致系統當機並引發拒絕服務攻擊。CWE：CWE-125：越界讀取 說明：DTLS 握手訊息可分為多個片段寫入，若底層傳輸層暫時無法接受更多資料，寫入操作可能會在訊息中途暫停（並回傳 WANT_WRITE）。當此類寫入操作被暫停時，DTLS 重傳計時器可能會獨立觸發，並要求重傳邏輯從其重傳佇列中重新傳送一則較早、且已確認送達的訊息。 
    重傳邏輯重複使用了與仍在寫入中的訊息相同的內部緩衝區和位置追蹤機制，卻未將位置重設回待重傳訊息的起始處。 
    因此，重傳資料是從暫停寫入處中斷的位置開始讀取的，這導致產生了一則標籤錯誤的訊息，其內容體是由另一則仍在傳輸中的較大訊息所殘留的位元組——這些內容本不該在該時刻傳送，且可能超出已分配緩衝區的範圍。 此外，即使轉發操作已正確定位，若在另一項寫入操作被暫停期間仍讓轉發操作執行至完成，將會覆寫該暫停寫入操作所依賴的相同共用帳務記錄，而該寫入操作正是仰賴此記錄才能恢復執行。 當應用程式稍後繼續暫停的寫入時 （透過後續的 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 呼叫），它會發現該簿記處於與訊息不一致的狀態，並在除錯組建中中止處理程序。此修正程式會在重新傳送之前，將重新傳輸的讀取位置重設為訊息的開頭，並在交握寫入仍暫停時完全略過重新傳輸，並延遲到下一個繼續它的呼叫。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-84782)

  - 問題摘要：當 OpenSSL 快取 X.509 延伸資訊時，若憑證包含多個 nameRelativeToCRLIssuer CRL 分發點，將導致堆記憶體過度增長。影響摘要：從惡意對等接收特製的憑證可能會導致用戶端或索取用戶端憑證的伺服器造成嚴重的記憶體壓力，並可能發生拒絕服務。CWE：CWE-770：無限制或無限流的資源分配 說明：若憑證或一組憑證的大小未超過對等方所接受的憑證大小限制（約 100 KiB），則在正常的 TLS 握手過程中，可能會導致接收端分配數百 MiB 的駐留記憶體。 如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。此修正程式會將憑證中 CRL 發佈點延伸模組的處理延遲至 CRL 處理需要處理值的時間。這可避免在收到此類憑證時，長時間保留大型記憶體配置。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-35189)

  - 問題摘要：用於 ECDSA 和 SM2 簽章運算的通用橢圓曲線標量乘法，若所使用的曲線未具備專用實作，則會透過時間洩露有關秘密隨機數的資訊。 影響摘要：若攻擊者能夠測量簽名時間，便可能獲取關於每個簽名所對應的機密隨機數（nonce）的資訊；當累積足夠多的簽名時，攻擊者便可透過格理論／隱數問題攻擊，進而復原私鑰。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 及其他通用質數曲線上使用 ECDSA 簽名，以及在使用通用實作的平台上使用 SM2 簽名的應用程式，均易受此問題影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

  - 問題摘要：根據 PKCS#10 CSR 要求撤銷憑證的 CMP 用戶端可能會在處理特製的撤銷回應時，解除參照 NULL 指標並異常終止。影響摘要：該 NULL 指標解除參照問題發生於執行讀取操作時，這會導致受影響的用戶端應用程式崩潰並發生拒絕服務。CWE：CWE-476：NULL 指標解除參照 說明：撤銷憑證的 CMP 用戶端必須告訴伺服器要撤銷哪個憑證，並且可以透過提供 PKCS#10 CSR (而不是憑證本身或其簽發者名稱和序號) 來執行此操作。這是命令列上的「openssl cmp -cmd rr -csr <file>」，或透過 API 使用 OSSL_CMP_exec_RR_ses() 並經由 OSSL_CMP_CTX_set1_p10CSR() 提供憑證的 OSSL_CMP_exec_RR_ses()。CSR 不包含憑證的簽發者名稱和序號，因此用戶端不會傳送這些資訊。伺服器或可選擇在其回應中指明它所撤銷的憑證，用戶端接著會將該名稱與它所發送的內容進行比對。由於用戶端既未發送簽發者名稱也未發送序號，它沒有任何資訊可供比對，而伺服器會傳回一個特製的名稱讓用戶端從 NULL 指標讀取並導致當機。在撤銷回應抵達受影響的程式碼之前，系統會檢查該回應有無有效的訊息保護，因此攻擊者必須是惡意或遭入侵的 CMP 伺服器，或是擁有用於訊息保護之密碼的中間人。
    以憑證或簽發者與序號 (而非 PKCS#10 CSR) 來識別待撤銷憑證的用戶端不會受到影響。FIPS 影響：由於 CMP 通訊協定實作位於 OpenSSL FIPS 模組邊界之外，因此沒有 FIPS 模組會受到此問題的影響。(CVE-2026-75805)

  - 問題摘要：使用 AEAD 加密套件已建立的 DTLS 1.2 關聯可能會由單一未經驗證的資料包終止，其加密片段短於必要的明確 IV 和驗證標籤額外負擔 。影響摘要：攻擊者若能傳送路由傳送至現有 DTLS 1.2 關聯的資料包，就可以在不知道任何金鑰資料的情況下拆除該關聯。這是僅限於目標關聯的拒絕服務。不會對記憶體安全或機密性造成影響。CWE：CWE-1284：輸入描述中指定數量的驗證不當：在 TLS 1.2 和 DTLS 1.2 中，受 AEAD 加密套件保護的每筆記錄都會帶有明確的 IV，後面接著加密文和驗證標籤。解密這類記錄時，記錄層會先將記錄長度傳遞至加密實作，然後再檢查記錄是否足夠長以包含明確的 IV 和標籤。若記錄長度短於該上限，加密實作會拒絕此不合規的長度，而記錄層則將此視為內部錯誤，並觸發致命的 internal_error 警示，而非將該記錄視為驗證失敗的記錄。在TLS 1.2 情況下，相同的記錄會導致重大internal_error警示，而不是預期的bad_record_mac警示。由於任何無法解密的記錄都已終止 TLS 連線，因此這是通訊協定一致性問題，而不是 TLS 中的安全性問題。此修正程式會在進行任何 AEAD 處理之前，根據明確的 IV 和標籤長度驗證記錄長度，以便TLS報告bad_record_mac和 DTLS 以無訊息方式捨棄記錄。FIPS 影響：否，受影響的程式碼位於 FIPS 模組邊界之外外。(CVE-2026-75806)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
351475	Debian dsa-6531：libcrypto3-udeb - 安全性更新	Nessus	Debian Local Security Checks	2026/9/30	2026/10/2	high
352192	OpenSSL 1.1.1 < 1.1.1zj 多個弱點	Nessus	Web Servers	2026/9/30	2026/10/2	high
351163	Linux Distros 未修補弱點：CVE-2026-75806	Nessus	Misc.	2026/9/29	2026/10/14	medium
352189	OpenSSL 4.0.0 < 4.0.3 多個弱點	Nessus	Web Servers	2026/9/30	2026/10/2	high
352191	OpenSSL 3.4.0 < 3.4.8 多個弱點	Nessus	Web Servers	2026/9/30	2026/10/2	high
365208	Amazon Linux 2：openssl11 (ALAS-2026-3991)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high
352190	OpenSSL 3.5.0 < 3.5.9 多個弱點	Nessus	Web Servers	2026/9/30	2026/10/2	high
367372	AlmaLinux 9.2 [TuxCare] 安全性更新：openssl / openssl-devel / openssl-libs / openssl-perl 多個弱點（ALMALINUX9.2：CLSA-2026：1792414477）	Nessus	Alma Linux Local Security Checks	2026/10/19	2026/10/19	low
352194	OpenSSL 3.6.0 < 3.6.5 多個弱點	Nessus	Web Servers	2026/9/30	2026/10/2	high
365185	Amazon Linux 2023：openssl、openssl-devel、openssl-fips-provider-latest (ALAS2023-2026-3204)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high
351469	Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS：OpenSSL 弱點 (USN-8847-1)	Nessus	Ubuntu Local Security Checks	2026/9/30	2026/10/2	high
352193	OpenSSL 3.0.0 < 3.0.23 多個弱點	Nessus	Web Servers	2026/9/30	2026/10/2	high

偵測

搜尋 Plugin

high

high

medium

high

high

high

high

low

high

high

high

high