OpenSSL 4.0.2 chiude 11 falle tra QUIC, CMS, CMP e autenticazione AEAD

🐧 Novità principali

• OpenSSL 4.0.2 corregge 11 CVE, con severità massima Moderate, e interviene su QUIC, CMS, CMP, DTLS, OCSP e primitive AEAD.
• CVE-2026-63072 provoca un heap buffer overflow durante il CMS key unwrapping, mentre CVE-2026-63076 consente a un client remoto di mandare in crash server CMP vulnerabili.
• Le correzioni arrivano contemporaneamente anche nei rami 3.6.4, 3.5.8 LTS, 3.4.7 e 3.0.22, con patch aggiuntive per versioni legacy sotto supporto esteso.

OpenSSL 4.0.2 arriva come aggiornamento di sicurezza molto più importante di quanto suggerisca il numero di versione, correggendo undici vulnerabilità distribuite tra QUIC, CMS, CMP, DTLS, OCSP e funzioni AEAD. Nessuna viene classificata High o Critical dal progetto, ma due raggiungono severità Moderate e diverse altre possono portare a denial-of-service, crescita incontrollata della memoria o bypass delle verifiche crittografiche in condizioni specifiche. La release del 25 agosto è accompagnata dagli aggiornamenti 3.6.4, 3.5.8 LTS, 3.4.7 e 3.0.22, segno che molte delle correzioni interessano una parte ampia dell’ecosistema OpenSSL e non soltanto la nuova serie 4.0.

CVE-2026-63072 corrompe l’heap durante la decifratura CMS

La vulnerabilità più delicata insieme a CVE-2026-63076 è CVE-2026-63072, classificata Moderate. Secondo il database ufficiale delle vulnerabilità OpenSSL, il problema si trova nel CMS key unwrapping. Durante la decifratura, OpenSSL dimensiona il buffer di output in base alla dimensione prevista della chiave estratta, ma la variante AES-WRAP-PAD può scrivere e azzerare fino a otto byte oltre l’allocazione. Un messaggio CMS appositamente costruito può quindi causare un heap buffer overflow deterministico di otto byte, con conseguente corruzione della memoria e normalmente crash dell’applicazione. La funzione raggiungibile è CMS_decrypt(), quindi il problema riguarda applicazioni che elaborano messaggi CMS controllabili dall’esterno. Non risultano interessati i moduli FIPS, perché il codice CMS rimane esterno al boundary validato.

CMP può essere mandato in crash senza autenticazione

La seconda falla Moderate è CVE-2026-63076 e riguarda il Certificate Management Protocol. OpenSSL controlla la presenza del parametro protectionAlg, ma non valida correttamente il tipo ASN.1 prima di interpretarlo come PBMParameter. Un messaggio costruito con un tipo differente può quindi portare alla dereferenziazione di un puntatore non valido. L’impatto è un Denial of Service remoto senza autenticazione contro server CMP che accettano messaggi protetti attraverso password-based MAC, oppure contro client CMP collegati a un server malevolo o intercettato. È un bug particolarmente rilevante negli ambienti PKI automatizzati, dove CMP viene utilizzato per enrollment e gestione del ciclo di vita dei certificati.

QUIC riceve quattro correzioni contro crash e memory exhaustion

Una parte significativa di OpenSSL 4.0.2 riguarda QUIC, ancora relativamente giovane dentro la libreria rispetto al tradizionale stack TLS. CVE-2026-18798 corregge un double free provocabile durante l’elaborazione di pacchetti INITIAL, mentre CVE-2026-14456 impedisce la crescita senza limiti della coda di nuove connessioni QUIC. Prima della patch, un peer remoto poteva inviare numerosi pacchetti Initial con destination connection ID differenti e costringere il listener ad allocare nuovi channel più rapidamente di quanto l’applicazione riuscisse ad accettarli. La correzione introduce un limite predefinito di 256 connessioni pendenti. OpenSSL corregge inoltre CVE-2026-63075, legata alla conservazione dei pacchetti ACK-only e capace anch’essa di portare all’esaurimento della memoria, oltre a CVE-2026-14457, dove la selezione dell’algoritmo di firma in un server RPK poteva dereferenziare un certificato mancante. Il numero di interventi su QUIC conferma quanto il nuovo stack continui a essere sottoposto a forte hardening dopo il suo ingresso nella libreria.

DTLS e OCSP esponevano client e server a consumo progressivo di memoria

CVE-2026-54874, segnalata da Amazon Web Services, interessa DTLS e permette a record appartenenti a un epoch futuro di consumare molta più memoria rispetto alla loro dimensione reale mentre un handshake è ancora in corso. Un attaccante remoto può quindi aumentare progressivamente il consumo di RAM e provocare un DoS. La falla interessa numerosi rami OpenSSL, comprese versioni legacy sotto supporto esteso. Sul lato client, CVE-2026-54876 riguarda invece il controllo delle risposte OCSP. Un server TLS malevolo può inviare una risposta OCSP priva di SingleResponse, provocando una perdita di memoria durante la verifica della catena X.509 quando sono abilitate le flag specifiche per OCSP response checking. Un client long-running che si collega ripetutamente al server controllato dall’attaccante può quindi terminare la memoria disponibile.

OpenSSL corregge anche un bypass dell’autenticazione AEAD

Particolarmente interessante è CVE-2026-75803, che riguarda l’uso di EVP_Cipher() con cifrari AEAD. Con AES-OCB e ChaCha20-Poly1305, il controllo del tag di autenticazione poteva essere saltato quando veniva passato un ciphertext vuoto. L’applicazione poteva quindi interpretare come autenticato un messaggio per il quale il tag non era stato realmente verificato. OpenSSL classifica il problema Low per le condizioni specifiche necessarie, ma dal punto di vista concettuale è una correzione importante perché riguarda direttamente la proprietà che distingue la cifratura autenticata dalla semplice cifratura. La release risolve inoltre un problema analogo nel controllo dei tag con ciphertext vuoti in modalità CCM.

CMP soffriva anche di crescita indefinita della cache dei certificati

Un’altra vulnerabilità, CVE-2026-63074, riguarda nuovamente CMP. Il contesto poteva conservare indefinitamente certificati aggiuntivi contenuti nei campi extraCerts dei messaggi ricevuti, anche quando il messaggio veniva successivamente rifiutato. Su server che riutilizzano a lungo lo stesso OSSL_CMP_CTX, un client ostile poteva inviare ripetutamente grandi quantità di certificati aggiuntivi e provocare una crescita indefinita della memoria. La patch elimina dalla cache gli extra certificate relativi ai messaggi respinti. OpenSSL 4.0.2 corregge anche CVE-2026-63073, dove un Sender DN non fidato poteva essere utilizzato come format string durante la validazione delle risposte CMP, ampliando ulteriormente il numero di problemi concentrati nello stesso sottosistema.

La release arriva poche settimane dopo HollowByte

Il nuovo ciclo di patch segue da vicino quello che aveva già interessato la libreria con HollowByte, vulnerabilità capace di frammentare la memoria dei server OpenSSL attraverso handshake TLS minimi. Anche in quel caso il problema principale non riguardava la solidità matematica degli algoritmi crittografici, ma gestione della memoria e comportamento dei protocolli attorno alla crittografia. OpenSSL 4.0 aveva inoltre introdotto un’importante revisione del progetto, comprese nuove capacità orientate alla crittografia post-quantistica. Il numero di bug corretti nelle prime release 4.x non deve quindi essere letto come una crisi della libreria, ma come il normale costo di hardening di funzionalità nuove e molto complesse, soprattutto QUIC e CMP.

Gli amministratori devono aggiornare anche i software che incorporano OpenSSL

Il progetto indica chiaramente le versioni corrette nella pagina ufficiale dei download: 4.0.2, 3.6.4, 3.5.8, 3.4.7 e 3.0.22. OpenSSL 3.5 rimane il ramo LTS con supporto previsto fino all’aprile 2030, mentre 3.0 si avvicina alla propria fine del supporto standard. Il problema operativo rimane lo stesso già emerso nei precedenti aggiornamenti: aggiornare il pacchetto della distribuzione non garantisce che ogni applicazione utilizzi automaticamente la libreria corretta. Container, appliance, software compilato staticamente e applicazioni che includono una copia privata di libssl o libcrypto devono essere controllati singolarmente. OpenSSL 4.0.2 non corregge una singola vulnerabilità spettacolare. Corregge qualcosa di più concreto per chi gestisce infrastrutture: una costellazione di errori in protocolli e primitive fondamentali che, combinati con servizi esposti o processi long-running, possono trasformarsi in crash, memory exhaustion o perdita delle garanzie di autenticazione.