Utilisation après libération (Use-After-Free) affectant OpenSSL

OpenSSL est une bibliothèque cryptographique open source largement déployée, qui fournit des implémentations des protocoles TLS/SSL ainsi que des primitives cryptographiques utilisées par un grand nombre d'applications, de serveurs web et d'équipements réseau. Cette bibliothèque est affectée par une vulnérabilité libellée CVE-2026-45447, résultant d'une gestion incorrecte de la mémoire lors de la vérification des signatures numériques des messages PKCS#7 ou S/MIME. Son exploitation permettrait à un acteur malveillant non authentifié de soumettre, via tout canal réseau transportant du contenu PKCS#7 ou S/MIME, un message spécialement conçu pouvant entraîner l'arrêt du processus, une corruption du tas ou, selon le comportement de l'allocateur mémoire et l'usage que l'application fait de la mémoire, une exécution de code arbitraire à distance. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1.

• OpenSSL version 4.0.0 ;
• OpenSSL versions 3.6.x antérieures à 3.6.3 ;
• OpenSSL versions 3.5.x antérieures à 3.5.7 ;
• OpenSSL versions 3.4.x antérieures à 3.4.6 ;
• OpenSSL versions 3.0.x antérieures à 3.0.21 ;
• OpenSSL versions 1.1.1 antérieures à 1.1.1zh ;
• OpenSSL versions 1.0.2 antérieures à 1.0.2zq.