Uma vulnerabilidade chamada HollowByte pode permitir ataques de negação de serviço contra servidores que usam versões não corrigidas do OpenSSL. A falha pode ser acionada por uma requisição TLS maliciosa de apenas 11 bytes.
O problema não recebeu CVE nem alerta formal do projeto OpenSSL, pois foi tratado como uma correção de endurecimento. Mesmo assim, pesquisadores da Okta alertam que o impacto operacional pode ser relevante em servidores expostos à internet.
A falha ocorre durante a negociação inicial de conexões seguras. Versões vulneráveis do OpenSSL reservam memória com base no tamanho informado pelo cliente antes de confirmar se os dados realmente serão enviados.
Com isso, um invasor pode abrir conexões e declarar que enviará uma mensagem maior, mas entregar apenas uma pequena parte do conteúdo. O servidor fica aguardando dados que nunca chegam e mantém memória reservada.
Em testes com NGINX, pesquisadores observaram que servidores com pouca memória podem ser derrubados, enquanto máquinas mais robustas podem perder uma parte significativa da capacidade sem que o volume de tráfego pareça anormal.
A correção foi incluída nas versões OpenSSL 4.0.1, 3.6.3, 3.5.7, 3.4.6 e 3.0.21. Administradores devem atualizar os pacotes da distribuição, reiniciar serviços que carregam a biblioteca e monitorar crescimento incomum de memória em processos expostos à internet.
