Kerngegevens
- Leverancier
- OpenSSL
- Product
- OpenSSL
- Soort software
- basissoftware
- Getroffen versies
- OpenSSL vanaf 3.4.0 tot 3.4.8, vanaf 3.5.0 tot 3.5.9, vanaf 3.6.0 tot 3.6.5, vanaf 4.0.0 tot 4.0.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- OpenSSL 3.4.8
- OpenSSL 3.5.9
- OpenSSL 3.6.5
- OpenSSL 4.0.3
- CVE gepubliceerd
- 29 september 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de QUIC-implementatie van OpenSSL kan het geheugen voor pakketbuffers veel langer bezet blijven dan nodig is. Een aanvaller op afstand kan speciaal opgestelde pakketten sturen, zodat de QUIC-stack dit geheugen vastgehouden houdt. Hoe lang het geheugen bezet blijft, bepaalt de aanvaller zelf. Dit kan ertoe leiden dat een dienst niet meer beschikbaar is.
Wie loopt risico?
Je loopt risico als je software gebruikt die OpenSSL met QUIC-ondersteuning inzet en die via het netwerk bereikbaar is. Het gaat om OpenSSL-versies 3.4.0 tot 3.4.8, 3.5.0 tot 3.5.9, 3.6.0 tot 3.6.5 en 4.0.0 tot 4.0.3. De aanvaller heeft hiervoor geen inloggegevens nodig en jij hoeft niets te doen. De FIPS-module van OpenSSL wordt niet geraakt, omdat QUIC buiten de grenzen van die module valt.
Wat moet je doen?
Controleer je OpenSSL-versie
Ga na welke versie van OpenSSL jouw systemen en applicaties gebruiken, en of QUIC wordt ingezet. Let ook op software die OpenSSL zelf meelevert.
Werk OpenSSL bij
Installeer de opgeloste versie: 3.4.8, 3.5.9, 3.6.5 of 4.0.3, afhankelijk van de reeks die je gebruikt.
Herstart de getroffen diensten
Start na het bijwerken de diensten opnieuw op die OpenSSL gebruiken, zodat de nieuwe versie ook echt wordt geladen.
Volg het advies van je leverancier
Gebruik je OpenSSL via een besturingssysteem of een ander product, wacht dan op de update van die leverancier en lees het bijbehorende advies.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-84782, CVE-2026-72897, CVE-2026-84783, CVE-2026-84784. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De QUIC-stack van OpenSSL laat streamdata op de pakketbuffer staan totdat die naar een buffer van de ontvangende applicatie wordt gekopieerd. Dit bespaart een kopieerslag, maar de referentie naar de pakketbuffer wordt pas vrijgegeven na het kopiëren. Een aanvaller kan hierdoor veel meer geheugen laten reserveren dan de data in de streambuffer vraagt. Het is een geval van CWE-770, het toewijzen van middelen zonder limiet of afremming. De oplossing berekent per stream de geheugenoverhead, namelijk het verschil tussen de pakketgrootte en de grootte van het stream-frame. Zodra die opgetelde overhead 64 kB overschrijdt, verplaatst de stack de framedata vanaf het volgende pakket naar de streambuffer.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Zwakheid (CWE)
- CWE-770 · Toewijzing van middelen zonder limiet of afremming
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee