OpenSSL HollowByte: 11 байт могут удержать память сервера и привести к DoS

Коллеги, хочу обратить внимание на новость в сфере кибербезопасности и TLS: в OpenSSL обнаружен HollowByte.

Я обратил внимание на несколько важных моментов:
• 11 байт в TLS-запросе могут заставить сервер выделить до 131 КБ памяти.
• На системах с glibc эта память может не вернуться до перезапуска процесса.
• Исправление уже есть в релизах 4.0.1, 3.6.3, 3.5.7, 3.4.6 и 3.0.21 от 9 июня.
• При этом нет CVE, advisory и заметки в changelog.

Почему это важно: стандартный контроль соединений может не помочь, а обновление и перезапуск сейчас критичны.

Проверяли ли Вы, какие версии OpenSSL используются у Вас в инфраструктуре?

#кибербезопасность #OpenSSL #TLS #Vulnerability