CVE-2026-27459: Estouro de buffer em callback de cookie DTLS no pyOpenSSL
Versões do pyOpenSSL a partir de 22.0.0 e anteriores a 26.0.0 podem sobrescrever um buffer fornecido pela OpenSSL quando um callback de geração de cookie, fornecido pelo usuário, retorna um valor com mais de 256 bytes. O registro classifica a falha como CWE-120 e informa pontuação base 9.8 na NVD, classificada como crítica. A versão 26.0.0 passa a rejeitar valores de cookie longos demais, e o CVE não consta no catálogo CISA KEV segundo o registro.
Visão geral
O pyOpenSSL é um wrapper em Python para a biblioteca OpenSSL. Segundo o registro, um callback fornecido pelo usuário ao método set_cookie_generate_callback que devolve um cookie com mais de 256 bytes faz o pyOpenSSL sobrescrever um buffer fornecido pela OpenSSL. As fontes principais são o aviso no GitHub e a entrada na NVD.
Impacto
- O registro atribui a fraqueza CWE-120 (Classic Buffer Overflow).
- A NVD informa pontuação base 9.8, com vetor de ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
- O registro também traz pontuação 7.2 por uma segunda estrutura de CVSS e 8.1 de outro provedor.
- O registro não descreve as consequências concretas além do estouro de memória, portanto o impacto prático em cada ambiente é desconhecido.
Produtos e versões afetadas
- Pyca pyOpenSSL: a partir de 22.0.0 até antes de 26.0.0.
- O registro traz uma segunda entrada de produto, Pyopenssl Pyopenssl, com a mesma faixa.
- A partir da versão 26.0.0, valores de cookie longos demais são rejeitados.
Status de exploração
O campo KEV do registro é falso, portanto este CVE não consta no catálogo CISA KEV nos dados fornecidos. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro indica valor de exploração none no SSVC, automatizável como no, e probabilidade EPSS de 0.00916 com percentil 0.5982.
Correção e mitigação
- Atualize o pyOpenSSL para a versão 26.0.0 ou posterior, que o registro identifica como a versão que rejeita cookies longos demais.
- Revise o commit de correção para confirmar a mudança no seu ambiente.
- Se a atualização imediata não for possível, verifique se suas aplicações fornecem callbacks personalizados de cookie DTLS e confirme o tamanho máximo que eles podem gerar. O registro não descreve um workaround formal, então esta é uma recomendação defensiva geral.
- O registro lista muitos errata e entradas CSAF/VEX da Red Hat. Seu conteúdo não foi fornecido, então esta análise não se baseia neles para versões ou correções.
Orientação para detecção
- Inventarie ambientes Python e imagens de contêiner que dependem do pyOpenSSL e registre a versão instalada.
- Inclua o pyOpenSSL em processos de varredura de dependências e de lista de materiais de software, para que versões na faixa afetada sejam sinalizadas.
- Revise logs de aplicações e serviços em busca de falhas inesperadas ou erros de memória em componentes que usam DTLS com pyOpenSSL, correlacionando-os com implantações recentes.
Limitações das informações disponíveis
- O registro não descreve o layout exato da memória, os caminhos de código alcançáveis nem as condições de exploração além do comportamento do callback.
- O registro não informa se existe exploit público, e esta análise não avalia nenhum.
- O registro não fornece workaround, então as orientações de mitigação são gerais.
- Os avisos de fornecedores citados no registro não foram lidos para esta análise.
Perguntas frequentes
Quais versões do pyOpenSSL são afetadas?
Segundo o registro, as versões a partir de 22.0.0 até antes de 26.0.0 são afetadas.
O que devo fazer?
Atualize o pyOpenSSL para a versão 26.0.0 ou posterior e revise os callbacks personalizados de cookie DTLS nas suas aplicações.
Este CVE é explorado?
O registro não o lista no CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.