CVE-2026-45446· NVD / CVE Program· CNA openssl

Incorrect Tag Processing for Empty Messages in AES-GCM-SIV and AES-SIV modes

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 19/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,23% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
Исправленная версия: OpenSSL OpenSSL 3.0.21, 3.4.6, 3.5.7; azl3 openssl 3.3.5-5 on Azure Linux 3.0 3.3.7-3.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Пока низкий приоритет. Обновитесь до OpenSSL OpenSSL 3.0.21, 3.4.6, 3.5.7; azl3 openssl 3.3.5-5 on Azure Linux 3.0 3.3.7-3 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Issue summary: The implementations of AES-SIV (RFC 5297) and AES-GCM-SIV (RFC 8452) mishandle the authentication of AAD (Additional Authenticated Data) with an empty ciphertext allowing a forgery of such messages. Impact summary: An attacker can forge empty messages with arbitrary AAD to the victim's application using these ciphers. AES-SIV (RFC 5297) and AES-GCM-SIV (RFC 8452) are nonce-misuse-resistant AEAD modes: they accept a key, nonce, optional AAD (bytes that are authenticated but not encrypted), and plaintext, and produces ciphertext plus a 16-byte tag. On decrypt, `EVP_DecryptFinal_ex()` is documented to return success only if the tag is verified succesfully. In OpenSSL's provider implementation of these ciphers, the expected tag is computed only when decryption function is invoked with non-empty data. If the caller supplies AAD and then calls `EVP_DecryptFinal_ex()` without invocation of the ciphertext update, which can happen when the received ciphertext length is zero, the tag is never recalculated and still holds its all-zeros value. When AES-GCM-SIV is used, an attacker who sends arbitrary AAD, empty ciphertext, and all-zeros tag passes authentication under any key they do not know, single-shot. When AES-SIV is used, for mounting the attack it's necessary for the application to reuse the decryption context without resetting the key. AES-SIV is implemented since OpenSSL 3.0. AES-GCM-SIV is implemented since OpenSSL 3.2. No protocols implemented in OpenSSL itself (TLS/CMS/PKCS7/HPKE/QUIC) support either AES-GCM-SIV or AES-SIV. To mount an attack, the applications must implement their own protocol and use the EVP interface. Also they must skip the ciphertext update when a message with an empty ciphertext arrives. The FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this issue, as these algorithms are not FIPS approved and the affected code is outside the OpenSSL FIPS module boundary.

СредняяCVSS 4.8 · v3.1—Эксплойта нет Есть исправление

Без аутентификации

Опубликовано: 9 июн. 2026 г.
Обновлено: 23 июл. 2026 г.
EPSS: 0,2 % · 13-й процентиль
CWE: CWE-325

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 19 / 40 · 4.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,2 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
openssl	openssl	cpe:2.3:a:openssl:openssl

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

openssl openssl3.0.0 и новее · до 3.0.21
openssl openssl3.4.0 и новее · до 3.4.6
openssl openssl3.5.0 и новее · до 3.5.7
openssl openssl3.6.0 и новее · до 3.6.3
openssl openssl4.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (openssl). Не зависят от анализа CPE в NVD и обычно опережают его.

OpenSSL OpenSSL
- 4.0.0 и новее · до 4.0.1затронута · semver
- 3.6.0 и новее · до 3.6.3затронута · semver
- 3.5.0 и новее · до 3.5.7затронута · semver
- 3.4.0 и новее · до 3.4.6затронута · semver
- 3.0.0 и новее · до 3.0.21затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
AlmaLinux:10	openssl	до 1:3.5.5-4.el10_2.alma.1	1:3.5.5-4.el10_2.alma.1
AlmaLinux:10	openssl-devel	до 1:3.5.5-4.el10_2.alma.1	1:3.5.5-4.el10_2.alma.1
AlmaLinux:10	openssl-libs	до 1:3.5.5-4.el10_2.alma.1	1:3.5.5-4.el10_2.alma.1
AlmaLinux:10	openssl-perl	до 1:3.5.5-4.el10_2.alma.1	1:3.5.5-4.el10_2.alma.1
AlmaLinux:9	openssl	до 1:3.5.5-4.el9_8	1:3.5.5-4.el9_8
AlmaLinux:9	openssl-devel	до 1:3.5.5-4.el9_8	1:3.5.5-4.el9_8
AlmaLinux:9	openssl-libs	до 1:3.5.5-4.el9_8	1:3.5.5-4.el9_8
AlmaLinux:9	openssl-perl	до 1:3.5.5-4.el9_8	1:3.5.5-4.el9_8
Alpine:v3.21	openssl	с 3.0.0 · до 3.3.7-r1	3.3.7-r1
Alpine:v3.22	openssl	с 3.0.0 · до 3.5.7-r0	3.5.7-r0
Debian:12	openssl	до 3.0.20-1~deb12u2	3.0.20-1~deb12u2
Debian:13	openssl	до 3.5.6-1~deb13u2	3.5.6-1~deb13u2
Debian:14	openssl	до 3.6.3-1	3.6.3-1
openSUSE:Leap 16.0	openssl-3	до 3.5.0-160000.8.1	3.5.0-160000.8.1
openSUSE:Tumbleweed	openssl-3	до 3.5.3-6.1	3.5.3-6.1
Red Hat:enterprise_linux:10.2	openssl	до 1:3.5.5-4.el10_2	1:3.5.5-4.el10_2
Red Hat:enterprise_linux:10.2	openssl-debuginfo	до 1:3.5.5-4.el10_2	1:3.5.5-4.el10_2
Red Hat:enterprise_linux:10.2	openssl-debugsource	до 1:3.5.5-4.el10_2	1:3.5.5-4.el10_2
Red Hat:enterprise_linux:10.2	openssl-devel	до 1:3.5.5-4.el10_2	1:3.5.5-4.el10_2
Red Hat:enterprise_linux:10.2	openssl-libs	до 1:3.5.5-4.el10_2	1:3.5.5-4.el10_2
Red Hat:enterprise_linux:10.2	openssl-libs-debuginfo	до 1:3.5.5-4.el10_2	1:3.5.5-4.el10_2
Red Hat:enterprise_linux:10.2	openssl-perl	до 1:3.5.5-4.el10_2	1:3.5.5-4.el10_2
Red Hat:enterprise_linux:9::appstream	openssl-debuginfo	до 1:3.5.5-4.el9_8	1:3.5.5-4.el9_8
Red Hat:enterprise_linux:9::appstream	openssl-debugsource	до 1:3.5.5-4.el9_8	1:3.5.5-4.el9_8

+84

Тот же продукт

openssl: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2014-0160The (1) TLS and (2) DTLS implementations in OpenSSL 1.0.1 before 1.0.1g do not properly handle Heartbeat Extension packets, which allows remKEV
90Срочно
CVE-2021-3711SM2 Decryption Buffer Overflow
65На этой неделе
CVE-2003-0545Double free vulnerability in OpenSSL 0.9.7 allows remote attackers to cause a denial of service (crash) and possibly execute arbitrary code
65На этой неделе
CVE-2016-2108The ASN.1 implementation in OpenSSL before 1.0.1o and 1.0.2 before 1.0.2c allows remote attackers to execute arbitrary code or cause a denia
62На этой неделе
CVE-2016-6309statem/statem.c in OpenSSL 1.1.0a does not consider memory-block movement after a realloc call, which allows remote attackers to cause a den
60На этой неделе
CVE-2022-3786X.509 Email Address Variable Length Buffer Overflow
58В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
OpenSSL OpenSSL	3.0.21	Вендор (CNA)
OpenSSL OpenSSL	3.4.6	Вендор (CNA)
OpenSSL OpenSSL	3.5.7	Вендор (CNA)
OpenSSL OpenSSL	3.6.3	Вендор (CNA)
OpenSSL OpenSSL	4.0.1	Вендор (CNA)
azl3 openssl 3.3.5-5 on Azure Linux 3.0	3.3.7-3 · CBL-Mariner Releases	Microsoft (MSRC)
almalinux:openssl	1:3.5.5-4.el10_2.alma.1 · AlmaLinux:10	Реестр пакетов (OSV)
almalinux:openssl-devel	1:3.5.5-4.el10_2.alma.1 · AlmaLinux:10	Реестр пакетов (OSV)
almalinux:openssl-libs	1:3.5.5-4.el10_2.alma.1 · AlmaLinux:10	Реестр пакетов (OSV)
almalinux:openssl-perl	1:3.5.5-4.el10_2.alma.1 · AlmaLinux:10	Реестр пакетов (OSV)
alpine:openssl	3.3.7-r1 · Alpine:v3.21	Реестр пакетов (OSV)
debian:openssl	3.0.20-1~deb12u2 · Debian:12	Реестр пакетов (OSV)
opensuse:openssl-3	3.5.3-6.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
red hat:chunkah	0:0.6.0-3.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:openssl	1:3.5.5-4.el10_2 · Red Hat:enterprise_linux:10.2	Реестр пакетов (OSV)
red hat:openssl-debuginfo	1:3.5.5-4.el10_2 · Red Hat:enterprise_linux:10.2	Реестр пакетов (OSV)
red hat:openssl-debugsource	1:3.5.5-4.el10_2 · Red Hat:enterprise_linux:10.2	Реестр пакетов (OSV)
red hat:openssl-devel	1:3.5.5-4.el10_2 · Red Hat:enterprise_linux:10.2	Реестр пакетов (OSV)
red hat:openssl-libs	1:3.5.5-4.el10_2 · Red Hat:enterprise_linux:10.2	Реестр пакетов (OSV)
red hat:openssl-libs-debuginfo	1:3.5.5-4.el10_2 · Red Hat:enterprise_linux:10.2	Реестр пакетов (OSV)
red hat:openssl-perl	1:3.5.5-4.el10_2 · Red Hat:enterprise_linux:10.2	Реестр пакетов (OSV)
red hat:openssl3	0:3.5.8-0.1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:openssl3-devel	0:3.5.8-0.1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:python-cryptography	0:50.0.0-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:python3-cryptography	0:50.0.0-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
rocky linux:openssl	1:3.5.5-4.el10_2 · Rocky Linux:10	Реестр пакетов (OSV)
suse:openssl-3	3.1.4-14.1 · SUSE:Linux Micro 6.0	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Alex Gaynor (Anthropic)сообщил
Dmitry Belyavskiy (Red Hat)разработчик исправления

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-45445с разницей 0 дн.AES-OCB IV Ignored on EVP_Cipher() Path
30Наблюдать
CVE-2025-69418с разницей 133 дн.Unauthenticated/unencrypted trailing bytes with low-level OCB function calls
16Наблюдать
CVE-2026-42770с разницей 0 дн.FFC-DH Peer Validation Uses Attacker-Supplied q
14Наблюдать