p PatchFirst

CVE-2026-42764

CVE-2026-42764 · NULL Pointer Dereference in QUIC Server Initial Packet Handling

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Issue summary: Receiving a QUIC initial packet with an invalid token may trigger a NULL pointer dereference in the OpenSSL QUIC server with address validation disabled. Impact summary: NULL pointer dereference typically causes abnormal termination of the affected QUIC server process and a Denial of Service. If the address validation is disabled in the OpenSSL QUIC server implementation, an attacker can crash the server by sending an initial packet with an invalid or expired token. By default, the client address validation is enabled in the OpenSSL QUIC server implementation, which makes the default configuration not vulnerable to this issue. However if the SSL_LISTENER_FLAG_NO_VALIDATE is used with the SSL_new_listener() call, the address validation is disabled making the vulnerable code reachable. The FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this issue, as the affected code is outside the OpenSSL FIPS module boundary.

CVSS 7.5 · Alta · EPSS 1,2% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · network

Productos y versiones afectados

  • openssl

    Versiones
    • ≥ 4.0.0, < 4.0.1: Afectada (semver)
    • ≥ 3.6.0, < 3.6.3: Afectada (semver)
    • ≥ 3.5.0, < 3.5.7: Afectada (semver)

    Actualiza a 3.5.7; Actualiza a 3.6.3; Actualiza a 4.0.1

  • openssl Debian:13

    Versiones
    • 3.5.1-1
    • 3.5.1-1+deb13u1
    • 3.5.2-1
    • 3.5.3-1
    • 3.5.4-1
    • 3.5.4-1~deb13u1
    • 3.5.4-1~deb13u2
    • 3.5.5-1
    • 3.5.5-1~deb13u1
    • 3.5.5-1~deb13u2
    • 3.5.6-1~deb13u1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.5.6-1~deb13u2

    Actualiza a 3.5.6-1~deb13u2

  • openssl Debian:14

    Versiones
    • 3.5.1-1
    • 3.5.2-1
    • 3.5.3-1
    • 3.5.4-1
    • 3.5.4-1~deb13u1
    • 3.5.4-1~deb13u2
    • 3.5.5-1
    • 3.5.5-1~deb13u1
    • 3.5.5-1~deb13u2
    • 3.5.6-1~deb13u1
    • 3.5.6-1~deb13u2
    • 3.5.7-1~deb13u1
    • 3.5.7-1~deb13u2
    • 3.5.7-1~deb13u3
    • 3.6.0-1
    • 3.6.0-2
    • 3.6.0~~alpha1-1
    • 3.6.0~~beta1-1
    • 3.6.1-1
    • 3.6.1-2
    • 3.6.1-3
    • 3.6.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.6.3-1

    Actualiza a 3.6.3-1

  • nodejs Ubuntu:Pro:22.04:LTS

    Versiones
    • 12.22.5~dfsg-5ubuntu1
    • 12.22.7~dfsg-2ubuntu1
    • 12.22.7~dfsg-2ubuntu3
    • 12.22.9~dfsg-1ubuntu2
    • 12.22.9~dfsg-1ubuntu3
    • 12.22.9~dfsg-1ubuntu3.1
    • 12.22.9~dfsg-1ubuntu3.2
    • 12.22.9~dfsg-1ubuntu3.3
    • 12.22.9~dfsg-1ubuntu3.4
    • 12.22.9~dfsg-1ubuntu3.5
    • 12.22.9~dfsg-1ubuntu3.6
    • 12.22.9~dfsg-1ubuntu3.6+esm2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • openssl Ubuntu:25.10

    Versiones
    • 3.4.1-1ubuntu3
    • 3.5.0-2ubuntu1
    • 3.5.2-1ubuntu1
    • 3.5.3-1ubuntu2
    • 3.5.3-1ubuntu3
    • 3.5.3-1ubuntu3.3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.5.3-1ubuntu3.4

    Actualiza a 3.5.3-1ubuntu3.4

  • edk2 Ubuntu:26.10

    Versiones
    • 2025.11-3ubuntu7
    • 2025.11-3ubuntu8
    • 2026.05-2ubuntu1
    • 2026.05-2ubuntu2
    • 2026.05-2ubuntu3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • edk2-hwe Ubuntu:26.10

    Versiones
    • 2025.11-3ubuntu8
    • 2025.11-3ubuntu9
    • 2026.05-2ubuntu1
    • 2026.05-2ubuntu2
    • 2026.05-2ubuntu3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • edk2 Ubuntu:26.04:LTS

    Versiones
    • 2025.02-8ubuntu3
    • 2025.11-3ubuntu6
    • 2025.11-3ubuntu7
    • 2025.11-3ubuntu7.2
    • 2025.11-3ubuntu7.3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • edk2-hwe Ubuntu:26.04:LTS

    Versiones
    • 2025.11-3ubuntu6
    • 2025.11-3ubuntu8
    • 2025.11-3ubuntu8.2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • openssl Ubuntu:26.04:LTS

    Versiones
    • 3.5.3-1ubuntu2
    • 3.5.5-1ubuntu1
    • 3.5.5-1ubuntu3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.5.5-1ubuntu3.2

    Actualiza a 3.5.5-1ubuntu3.2

Fuentes originales

Comprueba tu servidor →