As versões mais recentes do OpenSSL corrigem 18 vulnerabilidades, incluindo uma falha de alta severidade que pode permitir execução remota de código.
A vulnerabilidade de alta severidade, registrada como CVE-2026-45447, é um bug de uso após liberação (use-after-free) na heap em uma função usada para verificação de PKCS#7 (Padrão de Criptografia de Chave Pública #7).
Descoberta por um pesquisador da Califórnia em colaboração com a IA (Inteligência Artificial) Claude e a Anthropic Research, a falha pode ser acionada por meio de uma mensagem assinada PKCS#7 ou S/MIME (Extensões de Correio Eletrônico Multifuncional e Segura) especialmente criada durante a verificação de assinatura PKCS#7.
"Ao processar uma mensagem assinada PKCS#7 ou S/MIME, se o campo SignedData digestAlgorithms estiver presente como um conjunto ASN.1 (Notação de Sintaxe Abstrata #1) vazio, o OpenSSL pode incorretamente liberar um BIO (objeto básico de Entrada/Saída) pertencente ao chamador durante PKCS7_verify(). Um uso subsequente do BIO pela aplicação que fez a chamada resulta em uma condição de uso após liberação", explicaram os desenvolvedores do OpenSSL.
A exploração da vulnerabilidade pode resultar em corrupção de heap, travamentos de processos e, possivelmente, em execução remota de código.
As falhas de severidade moderada corrigidas no OpenSSL podem ser exploradas para descriptografar comunicações criptografadas, forjar textos cifrados arbitrários, lançar ataques de negação de serviço (DoS), contornar a validação de integridade e executar código arbitrário.
Uma das fraquezas de severidade média pode ser explorada para enganar um sistema a aceitar um certificado e uma chave privada falsos, controlados por um invasor, permitindo que o atacante contorne mecanismos de autenticação com uma taxa de sucesso de 1 em 256.
As vulnerabilidades de baixa severidade podem causar travamentos (DoS), falsificação de mensagens, recuperação de chaves privadas, substituição de certificados de autoridades certificadoras raiz e, possivelmente, execução arbitrária de código.
Alex Gaynor, da Anthropic, foi creditado por relatar meia dúzia das vulnerabilidades recém-corrigidas, o que sugere que o modelo Mythos da gigante de IA pode ter ajudado a identificar as falhas.
Vulnerabilidades de alta severidade no OpenSSL são raras nos dias de hoje. Apenas uma falha de alta severidade foi corrigida no ano passado, e a CVE-2026-45447 é a segunda falha de alta severidade de 2026.
Em abril, os desenvolvedores do OpenSSL corrigiram uma falha que pode permitir que um invasor obtenha dados sensíveis.
