Уязвимость HollowByte в OpenSSL вызывает утечку памяти с помощью 11-байтового пакета

Специалисты команды Red Team компании Okta выявили серьёзную уязвимость в библиотеке OpenSSL, которая позволяет неавторизованным атакующим вызывать отказ в обслуживании (DoS) на серверах. Проблема, получившая название HollowByte, проявляется при отправке всего 11-байтового пакета, который заставляет сервер выделять значительные объёмы памяти без фактической необходимости.

Уязвимость возникает из-за особенностей обработки TLS-рукопожатий в уязвимых версиях OpenSSL. Сервер выделяет память под входящие данные, полагаясь на заявленный размер в заголовке пакета, не проверяя фактический объём передаваемых данных. Злоумышленники могут отправлять пакеты с завышенными значениями длины, что приводит к фрагментации памяти и её неконтролируемому росту. Даже после завершения атаки сервер остаётся в состоянии повышенного потребления ресурсов до перезапуска процесса.

OpenSSL используется в большинстве Linux-дистрибутивов, а также в популярных веб-серверах (NGINX, Apache), языковых средах (Node.js, Python, PHP) и базах данных (MySQL, PostgreSQL). В ходе тестирования Okta выяснила, что атака может вывести из строя серверы с низкими ресурсами, а на более мощных системах приводит к потере до 25% доступной памяти без срабатывания систем мониторинга.

Разработчики OpenSSL уже устранили проблему в версиях 4.0.1, 3.6.3, 3.5.7, 3.4.6 и 3.0.21. Исправление изменяет механизм выделения памяти: теперь буфер расширяется только при фактическом поступлении данных, игнорируя заявленные в заголовке значения. Несмотря на то, что уязвимость классифицирована как «усиление защиты», а не критическая брешь, эксперты рекомендуют немедленно обновить библиотеку.