OpenSSL 14 açığı kapattı, 3.0 serisinin yaması ücretli desteğe kaldı

OpenSSL projesi 29 Eylül’de 14 güvenlik açığını kapatan güncellemeler yayımladı. Düzeltmeler 4.0.3, 3.6.5, 3.5.9 ve 3.4.8 sürümleriyle geldi. Açıklardan biri yüksek, biri orta önemde. Kalan on ikisi düşük önemde.

Yüksek önemdeki CVE-2026-84782, DTLS bağlantılarında el sıkışma mesajları yeniden gönderilirken eski bir bellek konumunun kullanılmasından kaynaklanıyor. Bu durumda program mesaj arabelleğinin dışını okuyabiliyor ve bellekteki veriler karşı tarafa sızabiliyor ya da program çökebiliyor. DTLS, TLS’in UDP üzerinde çalışan biçimi. Daha çok VPN, internet telefonu ve gerçek zamanlı uygulamalarda kullanılıyor. Orta önemdeki CVE-2026-84783 yalnızca 4.0 serisini etkiliyor. Aynı sertifika birden fazla iş parçacığında aynı anda işlendiğinde, serbest bırakılmış belleğin yeniden kullanılmasına yol açıyor. Düşük önemdeki açıkların çoğu QUIC protokolünde bellek ya da işlemciyi tüketerek hizmeti aksatmaya dayanıyor.

Güncellemenin dikkat çeken yanı 3.0 serisi. OpenSSL 3.0’ın uzun süreli desteği 7 Eylül’de sona erdi. Bu yüzden yüksek önemdeki açığı da kapatan 3.0.23 sürümü herkese açık yayımlanmadı, yalnızca OpenSSL’in ücretli destek müşterilerine verildi. Eski 1.1.1 ve 1.0.2 serilerinde de durum aynı.

Bu, 3.0 kullanan her sistemin açıkta kaldığı anlamına gelmiyor. Debian 12, Ubuntu 22.04 ve Ubuntu 24.04 3.0 serisini kullanıyor, ama bu dağıtımlar güvenlik düzeltmelerini kendi paketlerine taşıyor. Bu sistemler normal güncellemelerle korunmaya devam ediyor. Asıl risk, OpenSSL’i kendi içinde taşıyan programlarda, eski konteyner imajlarında ve statik derlenmiş araçlarda. Örneğin desteği bitmiş Node.js 20’nin resmi sürümleri OpenSSL 3.0’ı kendi içinde barındırıyor. Bu tür yazılımlar dağıtım güncellemelerinden yararlanamıyor.

Kurulu sürüm openssl version komutuyla görülebiliyor. Dağıtım paketlerini kullananlar için güncellemeleri almak yeterli. OpenSSL’i kendisi derleyen ya da içinde taşıyan yazılımlarda ise 3.4 ya da daha yeni bir seriye geçmek gerekiyor.