OpenSSL 3.0 deja de recibir actualizaciones y publican parches para >= v3.4
Segu-Info · 1 oct, 15:30
OpenSSL publicó el 29 de septiembre un parche para una vulnerabilidad de gravedad alta (CVE-2026-84782, CVSS 8.2) en DTLS que puede provocar fuga de memoria del heap o bloqueo del programa. El fallo ocurre cuando un reenvío de negociación se inicia mientras un mensaje de mayor tamaño está a mitad de su proceso de envío. Las versiones corregidas son 4.0.3, 3.6.5, 3.5.9 y 3.4.8; las ramas antiguas (3.0, 1.1.1 y 1.0.2) solo reciben parches mediante soporte premium, tras el fin del ciclo de vida público de OpenSSL 3.0 el 7 de septiembre.
DTLS es la variante de TLS para tráfico UDP utilizada en aplicaciones como WebRTC y telefonía por Internet. La vulnerabilidad surge porque DTLS fragmenta mensajes grandes en datagramas UDP y puede pausar el envío si la conexión no puede aceptar más datos; mientras está pausado, el temporizador de reenvío puede activarse y reenviar un mensaje anterior. Antes de la corrección, el reenvío utilizaba la posición del mensaje pausado en lugar de volver al inicio del mensaje reenviado, generando una etiqueta incorrecta, incluyendo bytes residuales del mensaje original que podían provocar un desbordamiento del búfer.
La vulnerabilidad fue reportada por Laurent Gaffie de Secorizon el 17 de agosto y corregida por Ryan Hooper. OpenSSL no ha confirmado si un atacante puede provocar deliberadamente un reenvío mientras un mensaje está pausado ni ha informado de ataques activos explotando esta falla. Ubuntu ya distribuyó el parche el 29 de septiembre en sus propios paquetes. OpenSSL no ofrece soluciones alternativas para usuarios que aún no puedan actualizar.
Puntos clave
- CVE-2026-84782 afecta DTLS en OpenSSL; CVSS 8.2 (gravedad alta)
- Parches disponibles en versiones 4.0.3, 3.6.5, 3.5.9 y 3.4.8
- OpenSSL 3.0 fin de vida pública el 7 de septiembre; parches antiguos solo con soporte premium
- Afecta a software que usa OpenSSL para DTLS (WebRTC, telefonía por Internet)
- No hay exploits confirmados ni soluciones alternativas disponibles