CVE-2026-41677: rust-openssl: leitura fora dos limites no callback de senha PEM
As versões do rust-openssl entre 0.9.0 e antes da 0.10.78 não validam o tamanho retornado por callbacks de senha fornecidos pelo usuário nas APIs *_from_pem_callback. Um callback que devolve mais dados do que o buffer recebido pode levar algumas versões do OpenSSL a ler além desse buffer. A correção está na 0.10.78, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O rust-openssl expõe as bibliotecas do OpenSSL para aplicações em Rust. As APIs *_from_pem_callback aceitam um callback de senha fornecido pela aplicação. Segundo o registro, essas APIs não verificavam o tamanho que o callback devolve, o que leva a uma leitura fora dos limites do buffer (CWE-125).
Impacto
- A pontuação base do NVD é 9,1, com vetor de rede, sem necessidade de privilégios ou interação do usuário, alto impacto na confidencialidade, sem impacto na integridade e alto impacto na disponibilidade.
- A avaliação do GitHub no registro é 1,7. A diferença entre as duas pontuações deve ser verificada no aviso do fornecedor antes de definir prioridade.
- Os dados SSVC do registro indicam exploração como none, automatizável como não e impacto técnico como parcial.
Produtos e versões afetadas
- rust-openssl da versão 0.9.0 até antes da 0.10.78. O registro lista duas entradas de nome de produto com a mesma faixa.
- O registro informa que a correção está na 0.10.78.
- A leitura excedente depende da versão do OpenSSL usada pelo rust-openssl. O registro diz que algumas versões são afetadas e que gerações mais recentes do OpenSSL não são.
Status de exploração
O registro não indica inclusão deste CVE no catálogo KEV da CISA, portanto não há exploração ativa confirmada por esse critério. Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados EPSS do registro trazem probabilidade de 0,00294 e percentil de 0,2087.
Correção e mitigação
- Atualize o rust-openssl para a 0.10.78 ou posterior.
- Faça o inventário das dependências Cargo para localizar todos os projetos que usam uma versão do rust-openssl anterior à 0.10.78, incluindo dependências transitivas.
- Enquanto a atualização não for possível, restrinja os callbacks de senha a caminhos de código confiáveis e evite repassar entradas não confiáveis por eles.
Orientações de detecção
- Revise arquivos de lock de dependências e listas de materiais de software em busca de versões do rust-openssl anteriores à 0.10.78.
- Observe falhas inesperadas ou erros de memória em serviços que processam material PEM com callbacks de senha personalizados.
Limitações das informações disponíveis
- O registro não lista as versões específicas do OpenSSL afetadas.
- A lista de correções do registro está vazia; a versão corrigida foi obtida da descrição e da referência do aviso do GitHub.
- As duas pontuações CVSS diferem e o registro não explica a diferença.
- Apenas o aviso do GitHub está listado como referência, então não foram analisados outros detalhes do fornecedor.
Perguntas frequentes
Quais versões do rust-openssl são afetadas pelo CVE-2026-41677?
Segundo o registro, o rust-openssl da versão 0.9.0 até antes da 0.10.78 é afetado. A correção é indicada para a 0.10.78.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC de exploração está como none.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.