CVE-2026-63075 dotyczy implementacji QUIC w OpenSSL. Peer, który zakończy handshake, może wymuszać generowanie ACK-only packets, których metadane pozostają przez czas życia połączenia, powodując rosnące zużycie pamięci i potencjalny DoS. OpenSSL i Red Hat klasyfikują problem jako Low.
Package presence nie wystarcza
Dla realnej affectedness trzeba sprawdzić: affected OpenSSL version? application uses OpenSSL QUIC? server/client role? remote peer can complete handshake? connection lifetime? public exposure? Miliony instalacji OpenSSL nie oznaczają milionów podatnych usług QUIC. OpenSSL wskazuje też, że QUIC code znajduje się poza FIPS module boundary — kolejny przykład, że nazwa biblioteki jako całości nie daje odpowiedzi o konkretnym feature.
Conditional VEX
Dobry status:
Wniosek
Dla popularnych bibliotek VM powinno schodzić z package-level do feature-level affectedness. W przeciwnym razie ogromna liczba poprawnie wykrytych pakietów zamienia się w noise. Pytanie brzmi nie „czy mamy OpenSSL?”, lecz: czy ta usługa realnie używa QUIC i jest wystawiona peerowi, który dokończy handshake?
Powiązane na blogu
- Unbound: podatny tylko z DoQ i quic-port — feature/config jako warunek
- OpenSSL „załatany”, a fix nie trafił — walidacja remediation OpenSSL
Źródła
- OpenSSL — Security Advisory (25.08.2026) — openssl-library.org
- OpenSSL — Vulnerabilities 3.4 — openssl-library.org
- Red Hat — CVE-2026-63075 — access.redhat.com
Nota redakcyjna: stan informacji 1 września 2026. CVE-2026-63075 (Low) dotyczy QUIC w OpenSSL (ACK-only packets → memory growth → DoS); QUIC jest poza FIPS module boundary. Artykuł koncentruje się na feature-level affectedness i conditional VEX.