Zusammenfassung
Einordnung eines auffällig langen Changelogs beim Ubuntu-24.04-Sicherheitsupdate für OpenSSL (3.0.13-0ubuntu3.12) sowie der parallel diskutierten HollowByte-Schwachstelle im TLS-Handshake.
Ubuntu-Changelog: Die 3.0.13-Reihe wird über fortlaufende Sicherheits-Patches gepflegt. Die letzten dokumentierten Fixes betreffen vor allem Heap-Buffer-Probleme beim Parsen von ASN.1-Daten sowie Fehler bei CMS-/PKCS#7-/CRMF-Verarbeitung — relevant vor allem für Server, die kryptografisch codierte Daten Dritter verarbeiten (Mailserver, Zertifikatsprüfung), weniger für normale Desktop-Nutzung.
HollowByte: Das Okta Red Team meldete Mitte Juli 2026 eine DoS-Schwäche, bei der ältere OpenSSL-Versionen anhand eines vierbytigen Handshake-Headers sofort Speicher in der angekündigten Größe reservierten, bevor der Inhalt eintraf. OpenSSL ordnete die Reservierung als real, aber pro Verbindung gedeckelt ein; die eigentlichen Ausfälle entstehen laut OpenSSL durch fehlende Verbindungs-Timeouts (Slowloris-Muster), nicht durch die Reservierungsgröße. Deshalb wurde keine CVE vergeben, sondern die Änderung als Hardening-Fix eingestuft — der Handshake-Puffer wird seither inkrementell in 16-KB-Schritten aufgebaut (Releases 4.0.1, 3.6.3, 3.5.7, 3.4.6, 3.0.21).
Praktische Einordnung: Updates zeitnah einspielen unabhängig von einer CVE-Nummer; für Serverbetreiber zusätzlich Handshake-/Idle-Timeouts setzen, Verbindungen pro Quelle begrenzen, nicht-blockierendes I/O nutzen.
Lizenz des Originalartikels: CC BY 4.0.
Von Ralf Seidenschwang.
Citations
[1] ralfsei.github.io/openssl-update-hollowbyte (öffnet in neuem Tab)