OpenSSL corrige CVE-2026-84782, una fuga remota de memoria en DTLS

OpenSSL publicó el 29 de septiembre una actualización de seguridad que corrige CVE-2026-84782, una vulnerabilidad de severidad alta en la lógica de retransmisión del protocolo DTLS. El defecto aparece cuando la escritura fragmentada de un mensaje de negociación queda suspendida y, al mismo tiempo, vence el temporizador de retransmisión.

La retransmisión reutiliza el búfer y la posición del mensaje todavía suspendido sin volver al comienzo del mensaje que debe reenviar. Como resultado puede leer más allá del límite asignado y enviar al par remoto bytes residuales del heap como datos de negociación en texto claro. Si la lectura alcanza memoria no mapeada, el proceso puede terminar y causar denegación de servicio.

La falla está clasificada como CWE-125 y afecta a OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 y 1.0.2. El código vulnerable está fuera del límite del módulo FIPS, por lo que la validación FIPS no elimina la exposición de una aplicación que utilice la implementación DTLS afectada.

La explotación requiere alcanzar un endpoint DTLS y provocar la condición de escritura suspendida y retransmisión. No es una ejecución remota de código confirmada, pero la posible divulgación de memoria puede revelar material perteneciente al proceso y el bloqueo afecta la disponibilidad de servicios que dependen de DTLS.

OpenSSL corrigió la posición de lectura antes de retransmitir y evita cualquier retransmisión mientras una escritura de negociación continúa suspendida. Las ramas con soporte público deben actualizar a 4.0.3, 3.6.5, 3.5.9 o 3.4.8. Para clientes con soporte premium, las versiones corregidas son 3.0.23, 1.1.1zj y 1.0.2zs.

Los equipos deben identificar primero los productos que enlazan OpenSSL y exponen DTLS, porque actualizar el paquete del sistema no siempre reemplaza bibliotecas incorporadas de forma estática dentro de appliances o aplicaciones.