7 квітня 2026 року OpenSSL повідомила про вразливість CVE-2026-28387 у DANE-клієнті. Проблема виникає при використанні рідкісних конфігурацій із поєднанням типів сертифікатів PKIX-TA/EE та DANE-TA, що може призвести до помилок звільнення пам'яті (use-after-free або double-free) на стороні клієнта.
Згідно з бюлетенем OpenSSL від 7 квітня 2026 року, проблема виникає при специфічних умовах конфігурації DNSSEC. Вразливість проявляється, коли клієнт налаштований на використання записів TLSA з комбінацією типів PKIX-TA/PKIX-EE та DANE-TA, а сервер надає RRset, що містить обидва типи записів одночасно. Це призводить до помилок роботи з пам'яттю, таких як use-after-free або double-free, що може спричинити аварійне завершення роботи клієнтського процесу.
Рекомендації:
- Перевірте версію OpenSSL у вашій інфраструктурі та оновіть її до виправленої версії, зазначеної у бюлетені безпеки.
- Якщо оновлення неможливе, тимчасово обмежте використання комбінованих типів TLSA записів у налаштуваннях клієнтів, якщо це дозволяє архітектура вашої мережі.
Стабілізація DANE-клієнтів в OpenSSL після виправлення CVE-2026-28387
Помилка в OpenSSL при обробці DANE-записів може призвести до нестабільності клієнтських додатків, що використовують TLS-з'єднання. Це створює ризик аварійного завершення роботи критичних сервісів через некоректну роботу з пам'яттю. Адміністраторам важливо перевірити версії OpenSSL та налаштування DNSSEC, щоб уникнути перебоїв у роботі мережевих комунікацій.
Практичний крок: Оновіть OpenSSL у вашій інфраструктурі до виправленої версії. Замовте у Softline консультацію з налаштування безпечних TLS-з'єднань та перевірки конфігурацій DNSSEC, щоб забезпечити стабільність та захищеність ваших мережевих сервісів.
Використані джерела
- openssl-library.org (openssl-library.org)