Auf den Punkt: HollowByte ermöglicht DoS-Angriffe auf OpenSSL-basierte Server durch gezielte Speicherfragmentierung mittels falscher Längenfeldangaben im TLS-Handshake, Patches sind für mehrere Versionen verfügbar.</tldr>
</invoke>
Die Sicherheitslücke HollowByte in OpenSSL erlaubt unauthentifizierten Angreifern, mit minimalem Datenaufwand Denial-of-Service-Zustände auf Servern hervorzurufen. Ein Patch korrigiert die fehlerhafte Speicherverwaltung bei TLS-Handshakes.
Das Red Team von Okta dokumentierte eine Schwachstelle in der Verschlüsselungsbibliothek OpenSSL, die es Angreifern ermöglicht, unauthentifizierte DoS-Attacken durchzuführen. Während eines TLS-Handshakes definiert ein vier Byte langer Header mit einem dreistelligen Längenfeld die Größe der nachfolgenden Nachricht. Betroffene OpenSSL-Versionen reservierten den angeforderten Speicher unmittelbar, noch bevor die tatsächlichen Daten ankamen oder deren echte Größe überprüft wurde. Ein Worker-Thread blockiert dann und wartet unbegrenzt auf Daten, die nie eintreffen.
Für den Angriff sendet der Angreifer eine elf Byte lange Nachricht, deren Header fälschlicherweise ein sehr großes Datenvolumen ankündigt. Bei wiederholter Durchführung über mehrere Verbindungen belegt der Server große Mengen Arbeitsspeicher durch minimal gesendete Datenmengen. Die Speicherverwaltung der GNU C Library (glibc) gibt kleine bis mittlere Speicherfreigaben nach Verbindungsabbruch nicht sofort an das Betriebssystem zurück, sondern behält sie für mögliche Wiederverwendung. Durch gezielt gesendete Verbindungswellen mit zufällig angegebenen Größen verhindert der Angreifer, dass der Allokator diese freigegebenen Blöcke nutzt. Dies führt zu starker Heap-Fragmentierung und kontinuierlichem Anstieg der Resident Set Size (RSS), wodurch der Server dauerhaft aufgebläht bleibt.
OpenSSL-Bibliotheken sind in weit verbreiteter Software integriert: Webservern wie NGINX und Apache, Laufzeitumgebungen wie Node.js, Python, Ruby und PHP sowie Datenbanksystemen wie MySQL und PostgreSQL. Okta testete das Angriffsszenario mit NGINX und beobachtete auf Systemen mit geringer Kapazität eine vollständige Arbeitsspeichererschöpfung. Bei leistungsstärkeren Servern sank die verfügbare Speicherkapazität um bis zu 25 Prozent, während die erforderliche Angriffsbandbreite unterhalb typischer Alarmschwellen für Sicherheitsüberwachungen blieb.
Das OpenSSL-Team veröffentlichte eine Korrektur als Härtungsmaßnahme ohne separate CVE-Identifikationsnummer. Der Fehler wurde in OpenSSL 4.0.1 behoben und in die älteren Versionen 3.6.3, 3.5.7, 3.4.6 und 3.0.21 zurückportiert. Die aktualisierten Versionen ignorieren die Größenangaben im Header und erweitern den Puffer erst bei tatsächlichem Dateneintreffen. Okta empfiehlt Betreibern, OpenSSL-Pakete ihrer Distribution unverzüglich zu aktualisieren.
Quelle: www.it-daily.net · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.