CVE-2026-56862
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Komunikaty uzgadniania, takie jak KeyUpdate, są zawsze uważane za postępujące w stanie, niezależnie od tego, czy uzgadnianie zostało zakończone, czy nie. W rezultacie złośliwy klient może wysyłać komunikaty KeyUpdate, aby zmusić serwer do ciągłego wykonywania operacji wyprowadzania kluczy w nieskończoność.
Ocena ryzyka
Atakujący może spowodować przeciążenie serwera, prowadząc do odmowy usługi (DoS) i wyczerpania zasobów.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta oprogramowania, które ograniczają przetwarzanie komunikatów KeyUpdate po zakończeniu uzgadniania.
Oryginalny opis (angielski, źródło NVD)
Handshake messages, such as KeyUpdate, are always considered as state-advancing, regardless of whether a handshake has been completed or not. As a result, a malicious client can keep sending KeyUpdate messages to force the server to keep performing key derivation operations indefinitely.