PT-2026-31035 · Openssl · Openssl Fips Module+1

Alex Gaynor + 2 · Publicado 2026-04-07 · Atualizado 2026-04-21 · CVE-2026-28386

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas OpenSSL FIPS Module versão 3.6

Descrição Aplicações que utilizam criptografia ou descriptografia AES-CFB128 em sistemas equipados com AVX-512 e suporte VAES podem experimentar uma leitura fora dos limites de até 15 bytes ao lidar com blocos de cifra parciais. Isso pode levar a uma negação de serviço se o buffer de entrada estiver em um limite de página de memória e a página subsequente não estiver mapeada. O problema ocorre apenas ao processar blocos parciais e em sistemas x86-64 com suporte a instruções AVX-512 e VAES.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

DoS

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

CVE-2026-28386

RHSA-2026:7261

Produtos afetados

Openssl Fips Module

Openssl

Referências · 10

• https://github.com/openssl/openssl/commit/61f428a2fc6671ede184a19f71e6e495f0689621 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-28386 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041711856444960807 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-28386 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2041727087875182830 · Publicação no Twitter
• https://twitter.com/ytroncal/status/2041621382967050497 · Publicação no Twitter
• https://twitter.com/syedaquib77/status/2041767979407327259 · Publicação no Twitter
• https://openssl-library.org/news/secadv/20260407.txt · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-28386 · Aviso do Fabricante
• https://twitter.com/wazuh/status/2046560658808857041 · Publicação no Twitter