OpenSSL vá lỗi DTLS mức độ cao có thể rò rỉ bộ nhớ heap
"OpenSSL released fixes for a high-severity DTLS vulnerability, CVE-2026-84782, that could leak heap memory as unencrypted handshake data or crash affected applications. The issue affects OpenSSL DTLS implementations across multiple branches and is fixed in versions 4.0.3, 3.6.5, 3.5.9, and 3.4.8, with older branches receiving fixes only through premium support; no public exploitation was reported."
Ảnh hưởng đến bí mật dữ liệu do có thể rò rỉ heap memory, đồng thời gây từ chối dịch vụ khi ứng dụng bị crash. Mức độ rủi ro tăng nếu hệ thống dùng DTLS qua UDP.
Có thể làm gián đoạn dịch vụ thời gian thực như WebRTC hoặc các luồng thiết lập khóa qua UDP. Tác động vận hành chủ yếu là downtime, lỗi kết nối và nhu cầu cập nhật khẩn.
OpenSSL đã phát hành bản sửa cho CVE-2026-84782, một lỗi DTLS mức High có thể làm rò rỉ heap memory dưới dạng dữ liệu bắt tay không mã hóa hoặc khiến ứng dụng bị crash. Lỗi này ảnh hưởng đến các triển khai OpenSSL DTLS trên nhiều nhánh phiên bản, đặc biệt trong các tình huống gửi lại thông điệp bắt tay khi quá trình truyền bị gián đoạn.
Theo mô tả kỹ thuật, khi một thông điệp bắt tay lớn đang được gửi dở dang, bộ đếm thời gian gửi lại có thể kích hoạt và dùng sai vị trí bộ đệm, dẫn đến dữ liệu bị gửi nhầm hoặc đọc vượt vùng nhớ. OpenSSL cho biết lỗi có thể xảy ra ở cả vai trò client lẫn server. Chưa có báo cáo về việc khai thác thực tế.
Các bản đã sửa gồm 4.0.3, 3.6.5, 3.5.9 và 3.4.8. Với nhánh cũ hơn như 3.0, 1.1.1 và 1.0.2, bản vá chỉ उपलब्ध cho khách hàng premium support. OpenSSL không công bố workaround thay thế.
Khuyến nghị: ưu tiên cập nhật ngay nếu hệ thống dùng OpenSSL DTLS, kiểm tra các gói phân phối Linux liên quan, và đánh giá lại các ứng dụng dùng WebRTC hoặc cơ chế thiết lập khóa qua UDP.