Kerngegevens
- Leverancier
- OpenSSL
- Product
- OpenSSL
- Soort software
- basissoftware
- Getroffen versies
- OpenSSL vanaf 4.0.0 tot 4.0.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- OpenSSL 4.0.3
- CVE gepubliceerd
- 29 september 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In OpenSSL 4.0 bewaart de software de uitgelezen extensies van een X.509-certificaat tijdelijk in een cache. Als meerdere threads die cache tegelijk voor hetzelfde certificaat opbouwen, kan het geheugen worden vrijgegeven terwijl een andere thread het nog gebruikt. Het programma leest dan geheugen dat al is vrijgegeven, en dat laat het proces waarschijnlijk crashen. Het gevolg is een denial of service: de dienst valt uit, maar de gegevens zelf worden niet gelezen of aangepast.
Wie loopt risico?
Je loopt risico als je OpenSSL 4.0 gebruikt in een multi-threaded TLS-client, of in een multi-threaded TLS-server die certificaten van clients opvraagt. Het probleem treedt alleen op als meerdere verbindingen tegelijk voor het eerst een certificaatketen naar dezelfde vertrouwde CA bouwen. Een aanvaller hoeft niet in te loggen en kan het lek via het netwerk uitlokken. Volgens de gegevens zijn OpenSSL 3.6, 3.5, 3.4, 3.0, 1.1.1 en 1.0.2 niet getroffen, en de FIPS-module ook niet.
Wat moet je doen?
Controleer je OpenSSL-versie
Ga na of je systemen of toepassingen OpenSSL 4.0 gebruiken, in de versies vanaf 4.0.0 tot 4.0.3. Andere hoofdversies die in het advies genoemd worden, zijn niet getroffen.
Werk bij naar OpenSSL 4.0.3
Installeer OpenSSL 4.0.3, de versie waarin dit lek is opgelost. Volg daarbij het advies van de leverancier.
Start diensten opnieuw op
Herstart na het bijwerken de diensten en programma's die OpenSSL gebruiken, zodat ze de nieuwe versie daadwerkelijk laden.
Controleer software van derden
Gebruik je programma's die OpenSSL 4.0 zelf meeleveren, kijk dan of de leverancier daarvan een bijgewerkte versie heeft uitgebracht.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-84782, CVE-2026-54873, CVE-2026-72897, CVE-2026-84784. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
OpenSSL cachet de gedecodeerde waarden van X.509v3-extensies in het X509-object zodra ze voor het eerst nodig zijn. In OpenSSL 4.0 gebeurt dat in twee fasen: de waarden worden berekend onder een leesslot en daarna onder een schrijfslot in het certificaat geplaatst. Een leesslot sluit andere lezers niet uit, dus meerdere threads kunnen de cache voor hetzelfde certificaat tegelijk berekenen. Elke thread die daarna het schrijfslot krijgt, plaatst zijn eigen resultaten en geeft de waarden van de vorige thread vrij, ook al had die de cache al als compleet gemarkeerd en pointers daarnaartoe teruggegeven. Een aanroeper die die pointers nog gebruikt, leest dan vrijgegeven geheugen (use-after-free). Kwetsbaar zijn vooral de vertrouwde CA-certificaten die alle verbindingen delen; certificaten die de peer stuurt worden per verbinding apart gedecodeerd en zijn niet getroffen.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Zwakheid (CWE)
- CWE-416 · Gebruik na vrijgave van geheugen (use-after-free)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee