LibreSSL ocspcheck: Speicherauslastung durch unbegrenzte OCSP-HTTP-Antwort
Zusammenfassung
Das OCSP-Prüfwerkzeug ocspcheck in LibreSSL bis 4.4.0 begrenzt die Grösse der HTTP-Header und Inhalte nicht, die es von einem OCSP-Responder empfängt. Ein böswilliger Responder oder ein Angreifer, der unverschlüsselten AIA-OCSP-Verkehr abfängt, kann endlose Daten senden und den Speicher erschöpfen, wodurch Zertifikatsstatusprüfungen verhindert werden. Für den Angriff ist Netzwerkzugriff auf den OCSP-Austausch nötig, eine Authentifizierung ist nicht erforderlich.
Betroffen
- LibreSSL 0 bis 4.4.0 (OpenBSD LibreSSL, gemäss CNA-Eintrag)
- Das Werkzeug ocspcheck ist betroffen; die Standardkonfiguration ist nicht betroffen
- Kein Serverdienst; relevant vor allem auf Systemen, auf denen ocspcheck läuft
Behoben in
- Behobene Version: Unbekannt.
- Referenzierte OpenBSD-Commits: bf5da63f53179ef423d18c56d6da89eaefb56228 und de4274c56c9ace88232591d4c919d79281a8de59 (Release mit diesen Commits nicht bestätigt)
Umgehung
- Keine vom Hersteller dokumentierte Massnahme gefunden.
- Verwendung von ocspcheck auf vertrauenswürdige Netzwerkpfade beschränken.
- Unverschlüsselte AIA-OCSP-Abrufe nach Möglichkeit vermeiden und ausgehende Pfade für diese Werkzeuge einschränken.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS: 0.21% (Perzentil 11).
Unsere Empfehlung
- Prüfen, ob auf Systemen LibreSSL-ocspcheck läuft (zum Beispiel auf OpenBSD-Hosts).
- Falls vorhanden, OpenBSD-Errata verfolgen und eine bestätigte korrigierte Version einspielen, sobald sie verfügbar ist.
- Die Verwendung von ocspcheck auf vertrauenswürdige Netze beschränken und unverschlüsselten OCSP-Verkehr einschränken.
- Für KMU, die OpenSSL oder den System-TLS-Stack verwenden, ist das Risiko gering.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Official advisory (VulnCheck) www.vulncheck.com
- LibreSSL 4.4.0 release notes ftp.openbsd.org
- OpenBSD commit bf5da63f github.com
- OpenBSD commit de4274c5 github.com
- OpenBSD ocspcheck http.c github.com
- LibreSSL portable github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:47.
Referenzen der NVD (6)
- https://ftp.openbsd.org/pub/OpenBSD/LibreSSL/libressl-4.4.0-relnotes.txt
- https://github.com/libressl/portable
- https://github.com/openbsd/src/blob/f6f428241d469cf434e60b73fc834d0448f068d5/usr.sbin/ocspcheck/http.c#L419
- https://github.com/openbsd/src/commit/bf5da63f53179ef423d18c56d6da89eaefb56228
- https://github.com/openbsd/src/commit/de4274c56c9ace88232591d4c919d79281a8de59
- https://www.vulncheck.com/advisories/libressl-ocspcheck-through-4.4.0-memory-exhaustion-via-unbounded-ocsp-ht…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.