Auf den Punkt: Ein ungepatches OpenSSL behandelt fragmentierte TLS-Nachrichten fehlerhaft und reserviert Speicher, der bis zum Neustart des Prozesses nicht freigegeben wird.
Eine Sicherheitslücke in OpenSSL ermöglicht es, mit nur 11 Bytes in einer TLS-Anfrage bis zu 131 KB Serverspeicher dauerhaft zu reservieren. OpenSSL verteilte den Patch im Juni ohne CVE-Nummer oder offizielle Ankündigung.
Ein Angreifer kann mit lediglich elf Bytes in einer speziell konstruierten TLS-Anfrage einen OpenSSL-Server dazu bringen, bis zu 131 Kilobyte Speicher für eine Nachricht zu reservieren, die nie vollständig ankommt. Auf glibc-basierten Systemen bleibt dieser Speicher dauerhaft gebunden, bis der betroffene Prozess neu gestartet wird.
Das Problem entstand durch die fehlerhafte Behandlung fragmentierter TLS-Nachrichten: OpenSSL allokiert den Speicher für die erwartete vollständige Nachricht, gibt ihn aber nicht frei, wenn die Fragmente nicht eintreffen. Wiederholte Anfragen dieser Art führen schrittweise zur Speichererschöpfung und schließlich zum Denial of Service des Servers.
OpenSSL veröffentlichte einen Patch im Juni 2026, allerdings ohne eine CVE-Nummer zu vergeben, ohne ein Security Advisory zu publizieren und ohne den Fix in den Changelog aufzunehmen. Das Red Team von Okta identifizierte die Lücke, gab ihr den Namen „HollowByte“ und machte die fehlende Transparenz des Patches öffentlich. Dies erschwert Administratoren und Unternehmen die zeitnahe Verfolgung und Priorisierung von Sicherheitsmaßnahmen erheblich.
Quelle: thehackernews.com · Erschienen 17. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.