PT-2026-47833 · Openssl · Openssl

Aaron Grattafiori + 3 · Publicado 2026-06-09 · Atualizado 2026-06-10 · CVE-2026-35188

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas OpenSSL (versões afetadas não especificadas)

Descrição Um servidor malicioso pode explorar o TLS OCSP stapling ao entregar uma resposta manipulada através da extensão status request. Isso desencadeia um double-free no caminho de verificação de certificado do cliente quando a resposta stapled é verificada. Um double-free ocorre quando um programa tenta liberar o mesmo local de memória duas vezes, o que pode corromper a memória heap. Isso pode levar a uma Negação de Serviço (DoS), execução de código controlada pelo invasor ou outro comportamento indefinido. O OCSP stapling não está habilitado por padrão.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, considere desabilitar o OCSP stapling para minimizar o risco de exploração.

DoS

Double Free

Enumeração de Fraquezas

CWE-415

Identificadores relacionados

CVE-2026-35188

Produtos afetados

Openssl

Referências · 7

• https://github.com/openssl/openssl/commit/131145d25659e8749a9ed1afb383484854cffb78 · Correção
• https://github.com/openssl/openssl/commit/78d0154cffda03aaaac63a087cc523a6b35fa8fd · Correção
• ❌ https://github.com/openssl/security/commit/78d0154cffda03aaaac63a087cc523a6b35fa8fd · Correção, Deleted
• https://t.me/cveNotify/166804 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-35188 · Nota de Segurança
• https://openssl-library.org/news/secadv/20260609.txt · Aviso do Fabricante
• ❌ https://github.com/openssl/security/commit/131145d25659e8749a9ed1afb383484854cffb78 · Correção, Deleted