Μια σοβαρή ευπάθεια στο OpenSSL επιτρέπει τη διαρροή μνήμης heap στην άλλη πλευρά μιας σύνδεσης DTLS ή μπορεί να προκαλέσει κατάρρευση του προγράμματος. Η ΟpenSSL ανακοίνωσε στις 29 Σεπτεμβρίου 2026 την κυκλοφορία διορθωτικών εκδόσεων, καλώντας όλους τους χρήστες να ενημερωθούν το συντομότερο δυνατό. Το ζήτημα αφορά ευρέως χρησιμοποιούμενες εκδόσεις της βιβλιοθήκης και θέτει σε κίνδυνο συστήματα που βασίζονται στο DTLS για κρυπτογράφηση επικοινωνιών.
Δείτε επίσης: Mozilla Firefox: Διορθώνει ευπάθεια “Heap Buffer Overflow”
Η ευπάθεια παρακολουθείται με το κωδικό όνομα CVE-2026-84782 και αξιολογείται ως High στην κλίμακα σοβαρότητας της OpenSSL — μία βαθμίδα κάτω από το Critical. Η CISA της απέδωσε βαθμολογία CVSS 8.2 στα 10, χαρακτηρίζοντας τον αντίκτυπο στην εμπιστευτικότητα ως Χαμηλό και στη διαθεσιμότητα ως Υψηλό. Μέχρι στιγμής δεν έχουν αναφερθεί επιθέσεις που να εκμεταλλεύονται την ευπάθεια, ωστόσο η φύση της καθιστά επιτακτική την άμεση ενημέρωση.
Το DTLS (Datagram Transport Layer Security) είναι η παραλλαγή του TLS που χρησιμοποιείται για κυκλοφορία UDP. Εφαρμόζεται ευρέως για την προστασία καναλιών δεδομένων WebRTC, για τη δημιουργία κλειδιών κρυπτογράφησης σε διαδικτυακές κλήσεις (VoIP) και σε άλλες εφαρμογές πραγματικού χρόνου. Το λογισμικό εκτίθεται στην ευπάθεια μόνο εφόσον χρησιμοποιεί το ΟpenSSL για DTLS επικοινωνίες.
Πώς λειτουργεί η ευπάθεια CVE-2026-84782 στο OpenSSL DTLS
Για να κατανοήσουμε την ευπάθεια, πρέπει να εξετάσουμε τον τρόπο λειτουργίας του DTLS. Το πρωτόκολλο χωρίζει ένα μεγάλο μήνυμα handshake σε τμήματα (fragments), καθένα από τα οποία χωράει σε ένα UDP datagram. Αν η σύνδεση δεν μπορεί να δεχτεί περισσότερα δεδομένα εκείνη τη στιγμή, η αποστολή μπορεί να παυτεί στη μέση ενός μηνύματος και να συνεχιστεί αργότερα. Παράλληλα, το DTLS επαναστέλνει ένα μήνυμα handshake αν δεν ληφθεί απάντηση πριν λήξει ο χρονοδιακόπτης.
Το πρόβλημα εμφανίζεται όταν η επαναποστολή ξεκινά ενώ ένα μεγαλύτερο μήνυμα βρίσκεται σε κατάσταση παύσης στη μέση της αποστολής του. Πριν από τη διόρθωση, η επαναποστολή χρησιμοποιούσε τη θέση του buffer του μηνύματος που βρισκόταν σε παύση, αντί να επιστρέψει στην αρχή του μηνύματος που επαναστελλόταν. Αποτέλεσμα: το επαναστελλόμενο μήνυμα εξερχόταν με λάθος ετικέτα, ενώ το σώμα του περιείχε εναπομείναντα bytes από το μεγαλύτερο μήνυμα. Η ανάγνωση αυτών των bytes μπορούσε να υπερβεί τα όρια του buffer.
Το λανθασμένα επισημασμένο μήνυμα μπορεί να μεταφέρει μνήμη heap στην άλλη πλευρά ως μη κρυπτογραφημένα δεδομένα handshake. Αν η ανάγνωση φτάσει σε μη αντιστοιχισμένη μνήμη, το πρόγραμμα καταρρέει. Η ΟpenSSL δεν περιορίζει την ευπάθεια μόνο σε DTLS clients ή servers — η διόρθωση δοκιμάστηκε και στους δύο ρόλους. Αυτό σημαίνει ότι τόσο οι εφαρμογές-πελάτες όσο και οι εξυπηρετητές που χρησιμοποιούν OpenSSL για DTLS είναι εκτεθειμένοι.
Δείτε επίσης: iOS 27 beta 6: Τι νέο φέρνει, ποια security fixes και ποια iPhone το υποστηρίζουν
Ποιες εκδόσεις OpenSSL επηρεάζονται και πώς να προστατευτείτε
Η ευπάθεια CVE-2026-84782 επηρεάζει τις εκδόσεις OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 και 1.0.2, σε κάθε έκδοση πριν από τις διορθωμένες. Η διόρθωση είναι διαθέσιμη στις εκδόσεις 4.0.3, 3.6.5, 3.5.9 και 3.4.8. Για τους παλαιότερους κλάδους 3.0, 1.1.1 και 1.0.2, οι διορθωμένες εκδόσεις διατίθενται μόνο σε πελάτες που πληρώνουν για premium υποστήριξη της OpenSSL. Αξίζει να σημειωθεί ότι ο κλάδος OpenSSL 3.0 σταμάτησε να λαμβάνει δημόσιες διορθώσεις ασφαλείας στις 7 Σεπτεμβρίου 2026.
Η τελευταία δημόσια έκδοση του κλάδου 3.0 ήταν η 3.0.22, στις 25 Αυγούστου. Η έκδοση 3.0.23 είναι η πρώτη έκδοση ασφαλείας του κλάδου 3.0 που η OpenSSL δεν έχει δημοσιοποιήσει — διορθώνει 6 από τις 14 ευπάθειες που αποκαλύφθηκαν στις 29 Σεπτεμβρίου, συμπεριλαμβανομένης της CVE-2026-84782. Αυτό σημαίνει ότι όποιος κατασκευάζει το OpenSSL 3.0 ή το ενσωματώνει στο δικό του λογισμικό δεν έχει δημόσια διόρθωση από την OpenSSL.
Για τους χρήστες Linux διανομών, η κατάσταση είναι πιο ευνοϊκή. Το Ubuntu διόρθωσε την ευπάθεια στις 29 Σεπτεμβρίου στα δικά του πακέτα, τα οποία διατηρούν παλαιότερους αριθμούς έκδοσης OpenSSL. Οι χρήστες Ubuntu πρέπει να επανεκκινήσουν το σύστημά τους μετά την ενημέρωση για να τεθούν σε ισχύ όλες οι αλλαγές. Για τα Ubuntu 22.04 και 24.04, που χρησιμοποιούν OpenSSL 3.0, η διόρθωση είναι ήδη διαθέσιμη στα αντίστοιχα πακέτα. Το Debian διόρθωσε την ευπάθεια στο Debian 13 με την έκδοση 3.5.7-1~deb13u3 του πακέτου openssl, που κυκλοφόρησε ως DSA-6531-1, ενώ το Debian 12 παρέμενε ευάλωτο στις 30 Σεπτεμβρίου.
Η OpenSSL δεν παρέχει καμία λύση αντιμετώπισης (workaround) για χρήστες που δεν μπορούν να ενημερωθούν άμεσα. Η επίσημη σύσταση είναι η αναβάθμιση σε νεότερο κλάδο, όπως τον 4.0 ή τον κλάδο μακροχρόνιας υποστήριξης 3.5. Η άλλη επιλογή είναι η σύναψη συμβολαίου επί πληρωμή υποστήριξης, το οποίο παρέχει συνεχή πρόσβαση σε διορθώσεις ασφαλείας για εκδόσεις που έχουν περάσει την ημερομηνία λήξης δημόσιας υποστήριξής τους.
Ανακάλυψη, διόρθωση και ο ευρύτερος αντίκτυπος του OpenSSL DTLS bug
Την ευπάθεια ανακάλυψε και ανέφερε ο Laurent Gaffie της εταιρείας Secorizon στις 17 Αυγούστου 2026. Η διόρθωση αναπτύχθηκε από τον Ryan Hooper. Η πολιτική ασφαλείας της OpenSSL συνιστά την εγκατάσταση ενημερώσεων με διορθώσεις επιπέδου High το συντομότερο δυνατό. Αξίζει να σημειωθεί ότι η OpenSSL δεν χρησιμοποιεί το σύστημα CVSS για τις δικές της αξιολογήσεις σοβαρότητας και επισημαίνει ότι οι βαθμολογίες από τρίτους μπορεί να διαφέρουν σημαντικά. Η CISA αξιολόγησε τον αντίκτυπο στη διαθεσιμότητα ως Υψηλό, αντανακλώντας τον κίνδυνο denial of service που ενέχει η ευπάθεια.
Η σημασία αυτής της ευπάθειας δεν πρέπει να υποτιμηθεί. Το OpenSSL αποτελεί τη ραχοκοκαλιά κρυπτογράφησης αμέτρητων εφαρμογών και υπηρεσιών παγκοσμίως. Η διαρροή μνήμης heap μέσω μη κρυπτογραφημένων δεδομένων handshake μπορεί να αποκαλύψει ευαίσθητες πληροφορίες που βρίσκονται στη μνήμη — κλειδιά, διαπιστευτήρια ή άλλα κρίσιμα δεδομένα. Παράλληλα, η δυνατότητα πρόκλησης κατάρρευσης του προγράμματος μέσω denial of service μπορεί να επηρεάσει τη διαθεσιμότητα υπηρεσιών που βασίζονται σε DTLS. Οι εκδόσεις της 29ης Σεπτεμβρίου διορθώνουν συνολικά 14 ευπάθειες, γεγονός που καθιστά την ενημέρωση ακόμα πιο επείγουσα, σύμφωνα με The Hacker News.
Δείτε επίσης: Knot Resolver: RCE μέσω DoQ heap overflow (CVE-2026-66374) – τι πρέπει να κάνουν οι admins
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Για οργανισμούς και διαχειριστές συστημάτων που χρησιμοποιούν OpenSSL, η άμεση δράση είναι απαραίτητη. Πρώτο βήμα είναι ο εντοπισμός όλων των συστημάτων που χρησιμοποιούν OpenSSL για DTLS επικοινωνίες. Δεύτερο, η αναβάθμιση στις διορθωμένες εκδόσεις 4.0.3, 3.6.5, 3.5.9 ή 3.4.8 ανάλογα με τον κλάδο που χρησιμοποιείται. Για χρήστες διανομών Linux όπως Ubuntu και Debian, η εφαρμογή των διαθέσιμων ενημερώσεων πακέτων είναι η πιο άμεση λύση. Όσοι χρησιμοποιούν τον κλάδο 3.0 χωρίς συμβόλαιο υποστήριξης θα πρέπει να σχεδιάσουν άμεσα τη μετάβαση σε νεότερο κλάδο, καθώς δεν υπάρχει δημόσια διόρθωση για αυτούς.
