CentOS Linux 6 [TuxCare] 安全更新：openssl / openssl-devel / openssl-perl / openssl-static （CENTOS6：CLSA-2026：1788263953）

high Nessus 插件 ID 351742

语言：

简介

CentOS Linux 主机缺少一个或多个安全更新。

描述

CentOS Linux 6 主机上存在安装的程序包，该程序包受到 TuxCare CENTOS6：CLSA-2026：2026：1788263953公告中提及的漏洞的影响。

- 问题摘要：在握手过程中接收未来 epoch 的 DTLS 记录会导致 OpenSSL 缓冲比记录本身所需的内存多得多。影响汇总：对等机可使用少量网络流量让 OpenSSL DTLS 端点保留不成比例的大量内存，这可能导致拒绝服务。CWE：CWE-405：非对称资源消耗（放大）描述：在进行 DTLS 握手时，对等机可能在本地端点处理相同的转换之前就已合法地转到下一个 epoch（例如，已发送其 ChangeCipherSpec 和 Finished 消息），这通常是因为底层 UDP 传输上的重新排序所致。
OpenSSL 会缓冲此类早期记录，以便在本地端点赶上后可对其进行处理。
缓冲记录当前会保留其到达的整个读取缓冲区，其大小可容纳可能最大的 DTLS 记录（约 16 KB），而不仅仅是构成记录本身的字节。每个连接最多可缓冲 100 条此类记录。因此，发送一连串声称属于 epoch 的小型伪造记录流的对等体可造成 OpenSSL DTLS 端点保留 1.7 约兆字节的内存，即使通过网络发送的数据量仅为一小部分。因此，攻击者获得的内存放大因子约为 1200，并且能将效应倍增至多个关联，对 DTLS 服务器而言，这是一种远程内存耗尽拒绝服务风险。由于每个连接保留的内存保持限制，并且应用程序已对并发关联数设置的任何限制也会限制总风险暴露，因此此问题的严重性被评估为低危。FIPS 模块：受此问题的影响，因为受影响的代码位于 OpenSSL FIPS 模块边界之外。OpenSSL 4.0、3.6、3.5、3.4、3.0、1.1.1 和 1.0.2 容易受此问题影响。OpenSSL 4.0 用户应在发布 OpenSSL 4.0.2 后升级到该版本。OpenSSL 3.6 用户应在发布 OpenSSL 3.6.4 后升级到该版本。OpenSSL 3.5 用户应在发布 OpenSSL 3.5.8 后升级到该版本。OpenSSL 3.4 用户应在发布 OpenSSL 3.4.7 后升级到该版本。OpenSSL 3.0 用户应在发布 OpenSSL 3.0.22 后升级到该版本。仅限高级支持客户： OpenSSL 1.1.1 用户应升级到 OpenSSL 1.1.1zi OpenSSL 1.0.2 用户应升级到 OpenSSL 1.0.2zr Amazon Web Services 于 2026 年 5 月 18 日报告了此问题。该补丁由 Matt Caswell 开发。-- 剪切（供内部使用的非发布元数据） -- 报告者：Amazon Web Services 修复者：Matt Caswell （CVE-2026-54874）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。