CVE-2026-84782: Grave Flaw in OpenSSL DTLS Espone la Memoria Heap e Consente DoS

OpenSSL ha rilasciato aggiornamenti di sicurezza che risolvono 14 vulnerabilità, inclusa una falla di alta gravità che potrebbe esporre la memoria heap sensibile o far crashare applicazioni che si affidano alla Datagram Transport Layer Security (DTLS). Tracciata come CVE-2026-84782, la vulnerabilità deriva da una gestione impropria delle ritrasmissioni dei messaggi di handshake e ha un punteggio CVSS di 8.2.

Rivelata il 29 settembre 2026, la questione comporta potenziali rischi per le applicazioni che utilizzano OpenSSL per le comunicazioni DTLS, inclusi certi VPN, VoIP, WebRTC, e implementazioni IoT. In specifiche condizioni di handshake, un’applicazione affetta potrebbe inavvertitamente trasmettere frammenti di memoria heap come dati non criptati o terminare inaspettatamente, risultando in una condizione di denial-of-service (DoS).

Secondo The Hacker News, OpenSSL non ha riportato attacchi che sfruttano la vulnerabilità né stabilito se un attaccante possa indurre in modo affidabile le specifiche condizioni necessarie per attivarla.

La divulgazione si aggiunge alla crescente difficoltà di mettere in sicurezza componenti open-source ampiamente distribuiti. Poiché le librerie crittografiche vengono frequentemente incorporate in applicazioni più grandi e infrastrutture di rete, le organizzazioni necessitano di visibilità sulle dipendenze software per identificare le implementazioni vulnerabili e dare la priorità alla rimedio.

Per rilevare tentativi di sfruttamento legati a CVE-2026-84782 e rafforzare la visibilità sulle minacce informatiche emergenti, i team di sicurezza possono sfruttare la piattaforma di rilevazione AI-Nativa di SOC Prime. La piattaforma fornisce accesso a una collezione continuamente aggiornata di contenuti per il rilevamento delle minacce compatibili con oltre 40 tecnologie SIEM, EDR e Data Lake.

Gli esperti di sicurezza possono anche utilizzare Uncoder AI per semplificare l’ingegneria del rilevamento, generare regole basate sull’intelligence sulle vulnerabilità emergenti, trasformare indicatori in query di caccia personalizzate, validare la logica di rilevamento e tradurre contenuti di sicurezza tra più linguaggi di query leader del settore.

Contatta Vendite

Analisi CVE-2026-84782

CVE-2026-84782 colpisce più versioni di OpenSSL che implementano il DTLS, una variante del protocollo TLS progettata per proteggere le comunicazioni basate su datagrammi, operando tipicamente su UDP.

A differenza del TLS convenzionale, il DTLS deve tenere conto della perdita di pacchetti e della consegna fuori ordine. Per mantenere una elaborazione affidabile dell’handshake, il protocollo supporta la frammentazione e la ritrasmissione dei messaggi di handshake quando una risposta prevista non arriva entro un intervallo specificato.

Secondo L’avviso ufficiale di sicurezza di OpenSSL, la vulnerabilità si verifica quando un messaggio di handshake viene trasmesso solo parzialmente perché il trasporto sottostante temporaneamente non può accettare dati aggiuntivi.

Mentre l’operazione di scrittura rimane sospesa, il timer di ritrasmissione del DTLS può indipendentemente innescare la ritrasmissione di un messaggio precedente. L’implementazione vulnerabile riutilizza in modo errato il buffer interno e l’informazione di tracciamento della posizione associata alla scrittura sospesa invece di resettare l’offset di ritrasmissione.

Come risultato, il messaggio di handshake ritrasmesso potrebbe iniziare a leggere da una posizione di buffer errata, incorporando dati da un altro messaggio o estendendosi oltre il limite della memoria allocata.

La vulnerabilità è classificata come CWE-125 (Lettura fuori dai limiti) e presenta due rischi di sicurezza principali:

• Divulgazione d’informazioni: Frammenti di memoria heap potrebbero essere esposti al peer remoto attraverso dati di handshake non criptati.
• Denial of service: La lettura oltre il buffer allocato può raggiungere una memoria non mappata, potenzialmente facendo crashare l’applicazione affetta. La condivisione della contabilizzazione della ritrasmissione può anche lasciare la scrittura sospesa in uno stato incoerente.

L’esposizione non è limitata esclusivamente a clienti o server DTLS. Tuttavia, le applicazioni solo TLS ordinarie non sono affette da questo specifico difetto di ritrasmissione DTLS, e la funzionalità vulnerabile risiede al di fuori del limite del modulo FIPS di OpenSSL.

Come riportato da SecurityWeek, lo sfruttamento potrebbe potenzialmente avvenire su una rete senza autenticazione o interazione dell’utente, purché si verifichino le condizioni di handshake richieste.

Notabilmente, i rapporti di riferimento non documentano un PoC pubblico di CVE-2026-84782 verificato indipendentemente o uno sfruttamento dannoso confermato.

Al momento della divulgazione, non sono stati forniti IoC specifici per la campagna CVE-2026-84782 nelle fonti di riferimento. Per il rilevamento di CVE-2026-84782, i difensori dovrebbero invece dare priorità all’identificazione delle dipendenze software vulnerabili e all’indagine su guasti imprevisti di handshake DTLS, anomalie di ritrasmissione e crash applicativi correlati.

L’avviso ufficiale fornisce dettagli tecnici aggiuntivi per CVE-2026-84782, inclusa la questione della gestione del buffer sottostante e la correzione implementata dal team di sviluppo OpenSSL.

Mitigazione CVE-2026-84782

OpenSSL ha risolto la vulnerabilità nei suoi rilasci di sicurezza del 29 settembre 2026. La correzione garantisce che le ritrasmissioni inizino a leggere dalla posizione corretta del messaggio e impedisce che la ritrasmissione proceda mentre un’altra scrittura di handshake rimane sospesa.

Si consiglia vivamente alle organizzazioni di identificare le installazioni di OpenSSL affette e applicare gli aggiornamenti di sicurezza corrispondenti.

Le seguenti versioni contengono la correzione:

Gli aggiornamenti per OpenSSL 3.0, 1.1.1 e 1.0.2 sono disponibili esclusivamente per i clienti con supporto premium. OpenSSL non ha valutato i rami non supportati 3.1, 3.2 e 3.3 per questa vulnerabilità.

Le organizzazioni che si basano ancora su OpenSSL 3.0 dovrebbero considerare la migrazione a un ramo supportato pubblicamente, come OpenSSL 3.5 LTS, o ottenere gli aggiornamenti applicabili a supporto premium.

È importante notare che le distribuzioni Linux potrebbero implementare patch di sicurezza mantenendo numeri di versione upstream più vecchi. Gli amministratori dovrebbero quindi consultare gli avvisi di distribuzione rilevanti piuttosto che affidarsi esclusivamente ai confronti del numero di versione.

Oltre agli upgrade, le seguenti misure difensive possono aiutare le organizzazioni a ridurre l’esposizione:

• Inventariare le applicazioni e i componenti infrastrutturali che dipendono da OpenSSL per le comunicazioni DTLS.
• Dare priorità ai servizi accessibili dall’esterno, comprese le implementazioni VPN, di comunicazione in tempo reale e IoT affette.
• Esaminare applicazioni di terze parti e collegate staticamente che potrebbero includere versioni di librerie vulnerabili.
• Monitorare i log delle applicazioni per rilevare guasti insoliti di handshake DTLS, ritrasmissioni ripetute e terminazioni inaspettate del processo.
• Applicare aggiornamenti forniti dai fornitori a prodotti che incorporano OpenSSL piuttosto che presumere che un aggiornamento della libreria del sistema operativo rimedierà a ogni implementazione.

OpenSSL non ha pubblicato una soluzione completa per le organizzazioni che non possono installare immediatamente gli aggiornamenti di sicurezza. Limitare l’accesso in rete non necessario e disabilitare temporaneamente il DTLS dove operativamente fattibile può ridurre l’esposizione, ma queste misure non dovrebbero sostituire l’implementazione delle patch.

Inoltre, le organizzazioni possono sfruttare la piattaforma di rilevamento AI-Nativo di SOC Prime per rafforzare la loro postura di cybersecurity, operazionalizzare l’intelligence sulle vulnerabilità emergenti, e accelerare il rilevamento proattivo delle minacce in ambienti di sicurezza eterogenei.