Heimdall Security Logo

CVE-2026-28387

Vulnérabilité élevée dans OpenSSL (OpenSSL)

CVSS 8.1 · Élevée
EPSS 0.7%
OpenSSL•OpenSSL•Versions : 3.3.0, 3.6.0, <3.5.6, 3.0.0, 1.1.1, <3.6.2, 3.5.0, <1.1.1zg, 3.4.0, <3.0.20, <3.3.7, <3.4.5

Description

Issue summary: An uncommon configuration of clients performing DANE TLSA-based server authentication, when paired with uncommon server DANE TLSA records, may result in a use-after-free and/or double-free on the client side. Impact summary: A use after free can have a range of potential consequences such as the corruption of valid data, crashes or execution of arbitrary code. However, the issue only affects clients that make use of TLSA records with both the PKIX-TA(0/PKIX-EE(1) certificate usages and the DANE-TA(2) certificate usage. By far the most common deployment of DANE is in SMTP MTAs for which RFC7672 recommends that clients treat as 'unusable' any TLSA records that have the PKIX certificate usages. These SMTP (or other similar) clients are not vulnerable to this issue. Conversely, any clients that support only the PKIX usages, and ignore the DANE-TA(2) usage are also not vulnerable. The client would also need to be communicating with a server that publishes a TLSA RRset with both types of TLSA records. No FIPS modules are affected by this issue, the problem code is outside the FIPS module boundary.

Gravité et risque d'exploitation

CVE-2026-28387 obtient un score CVSS de 8.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.67 %, ce qui la place devant 51.1 % des CVE référencées.

Que faire ?

  • Vérifiez si OpenSSL (versions 3.3.0, 3.6.0, <3.5.6, 3.0.0, 1.1.1, <3.6.2, 3.5.0, <1.1.1zg, 3.4.0, <3.0.20, <3.3.7, <3.4.5) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE