Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 问题摘要：OpenSSL QUIC 服务器在配置为不执行地址验证时，可被强制在其未经验证的信用计算中多次计算传入数据包，从而导致违反 RFC 9000 未经验证的连接放大限制，即所接收数据量的 3 倍。影响汇总：能够使用 OpenSSL QUIC 实现将数据包伪装到服务器的远程攻击者可能会利用服务器来放大 DDoS 攻击。CWE：CWE-440：预期行为违规 描述：当作为服务器运行时，OpenSSL 的 QUIC 堆栈会强制执行客户端地址验证（RFC 9000，第 8 节），以确认对等机地址未用于流量放大攻击。如果在服务器上禁用此功能，则在 TLS 握手完成之前，QUIC 堆栈会将可发送的服务器数据量限制为从对等机地址接收的数据量的 3 倍。OpenSSL QUIC 服务器在非验证模式下运行时，会在处理数据报中的每个 QUIC 数据包时，将接收的整个数据报的长度添加到未经验证的信用限额。远程对等机在与初始客户端 hello 帧建立连接后，可能会发送包含多个 QUIC 数据包的后续数据报，导致服务器考虑数据报中每个数据包的整个数据报长度，导致服务器认为对等机发送的数据比实际发送的数据多，从而违反 RFC 规定的 3 倍放大限制。FIPS 影响：否 由于 QUIC 堆栈位于 FIPS 模块边界之外，因此此 CVE 不会受到任何 FIPS 模块的影响。
    (CVE-2026-35191)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-35191

low Nessus 插件 ID 351168

版本 1.5