USN-8155-1: OpenSSL-Schwachstellen

USN-8155-1: OpenSSL-Schwachstellen

Veröffentlichungsdatum: 8. April 2026
Übersicht: Mehrere Sicherheitsprobleme wurden in OpenSSL behoben.

Pakete
openssl - Secure Socket Layer (SSL) kryptographische Bibliothek und Werkzeuge

Details
Viktor Dukhovni entdeckte, dass OpenSSL fälschlicherweise die erwartete
bevorzugte Schlüsselaustauschgruppe aushandelte, wenn es als TLS 1.3-Server verwendet wurde. Dies könnte
dazu führen, dass entgegen den Erwartungen ein weniger bevorzugter Schlüsselaustausch
Erwartungen. Dieses Problem betraf nur Ubuntu 25.10. (CVE-2026-2673)

Igor Morgenstern entdeckte, dass OpenSSL bestimmte Speicheroperationen falsch behandelt
Operationen falsch behandelt, wenn es als DANE-Client verwendet wird. Ein entfernter Angreifer könnte dies ausnutzen
Problem nutzen, um OpenSSL zum Absturz zu bringen, was zu einem Denial-of-Service oder
möglicherweise beliebigen Code ausführen. (CVE-2026-28387)

Igor Morgenstern entdeckte, dass OpenSSL bestimmte Speicheroperationen
Operationen bei der Verarbeitung einer Delta-CRL behandelte. Ein entfernter Angreifer könnte möglicherweise
Angreifer dieses Problem ausnutzen, um OpenSSL zum Absturz zu bringen, was zu einem Denial-of-Service führt.
(CVE-2026-28388)

Nathan Sportsman, Daniel Rhea, und Jaeho Nam entdeckten, dass OpenSSL
bestimmte Speicheroperationen falsch behandelte, wenn es eine manipulierte CMS
EnvelopedData-Nachricht mit KeyAgreeRecipientInfo. Ein entfernter Angreifer könnte
Angreifer könnte dieses Problem möglicherweise ausnutzen, um OpenSSL zum Absturz zu bringen, was zu einem Denial-of-Service
Dienstverweigerung führt. (CVE-2026-28389)

Muhammad Daffa, Joshua Rogers und Chanho Kim entdeckten, dass OpenSSL
die Verarbeitung einer manipulierten CMS EnvelopedData-Nachricht mit
KeyTransportRecipientInfo. Ein entfernter Angreifer könnte diesen Fehler möglicherweise ausnutzen
OpenSSL zum Absturz bringen, was zu einem Denial-of-Service führt.
(CVE-2026-28390)

Quoc Tran entdeckte, dass OpenSSL die Hexadezimal-Konvertierung auf
Konvertierung auf 32-Bit-Plattformen behandelt. Ein entfernter Angreifer könnte dieses Problem nutzen, um
OpenSSL zum Absturz bringen, was zu einer Dienstverweigerung führt, oder möglicherweise
beliebiger Code ausgeführt werden. (CVE-2026-31789)

Simo Sorce entdeckte, dass OpenSSL Fehler in RSA KEM falsch behandelt
RSASVE-Verkapselung. Ein entfernter Angreifer könnte dieses Problem möglicherweise ausnutzen, um
um sensible Informationen zu erhalten. (CVE-2026-31790)

Anweisungen zur Aktualisierung
Das Problem kann behoben werden, indem Sie Ihr System auf die folgenden Paketversionen aktualisieren:

25.10 questing

• libssl3t64 - 3.5.3-1ubuntu3.3
• openssl - 3.5.3-1ubuntu3.3

24.04 LTS edel

• libssl3t64 - 3.0.13-0ubuntu3.9
• openssl - 3.0.13-0ubuntu3.9

22.04 LTS jammy

• libssl3 - 3.0.2-0ubuntu1.23
• openssl - 3.0.2-0ubuntu1.23