LONDON (IT BOLTWISE) – Eine scheinbar harmlose TLS-Nachricht mit nur 11 Byte kann ungepatchte OpenSSL-Server dazu bringen, bis zu 131 KB Speicher pro Verbindung vorzuhalten und nie wieder freizugeben. In Tests führte das zu steigenden Heap-Fragmenten und im Extremfall zu OOM-Kills, selbst ohne die typischen Hürde-Mechanismen von Authentifizierung oder Session-Setup. Kritisch ist dabei vor allem die Wechselwirkung mit glibc-Allocator-Strategien. Für Betreiber zählt jetzt vor allem: Update auf die betroffenen OpenSSL-Zweigstände vom 9. Juni und sicherstellen, dass der Patch tatsächlich enthalten ist.
Der neue „HollowByte“-Effekt bei OpenSSL ist ein Lehrstück dafür, wie aus einem kleinen Parsing-Detail eine echte Betriebsgefahr werden kann. Konkret genügt in bestimmten TLS-Handshake-Szenarien eine Client-Anfrage, deren Länge im 4-Byte-Header so deklariert ist, dass OpenSSL den Empfangspuffer auf bis zu 131 KB reserviert. Kommen die nachfolgenden Body-Bytes dann nie an, wartet ein Worker-Thread auf ein Ereignis, das nicht eintritt. Das allein ist schon ein klassischer Denial-of-Service-Musteransatz – doch HollowByte wird in der Praxis durch die Speicher- und Allocator-Eigenschaften von glibc verstärkt.
Technisch betrachtet liegt der Kern in der Reihenfolge: In älteren OpenSSL-Versionen wird die Größe des Receive-Buffers offenbar bereits nach dem Eintreffen des Headers festgelegt, bevor das Handshake-„eigene“ Validierungs- oder Konsistenzprüfwerk greift. Für den inbound ClientHello ergibt sich damit eine harte Obergrenze der Puffergröße pro Verbindung. Sobald der Angreifer die Verbindung abbricht, sollte der Puffer wieder freigegeben werden – aber glibc hält kleine und mittlere Speicherblöcke für die Wiederverwendung im Nutzerprozess vor und gibt sie nicht sofort an den Kernel zurück. Angreifer können die behauptete Größe pro Verbindung variieren, sodass der Allocator geradezu „verwirrt“ wird und sich die Fragmentierung aufstaut.
In einem Downstream-Testumfeld kann das die Stabilität deutlich stärker treffen als reine Verbindungslimits. In den beschriebenen NGINX-Setups von Okta wurde laut Bericht ein 1-GB-Server durch OOM-Kills gestoppt, nachdem sich 547 MB Speicher in fragmentierten Strukturen „eingefroren“ hatten. Auf einem 16-GB-System stieg der belegte Anteil nach Angaben auf etwa 25%, ohne die Verbindungskappung im Sinne einer maximalen „gleichzeitig offenen“ Anzahl zu überschreiten. Das macht HollowByte besonders unangenehm für Betreiber, die sich bislang auf Standardmaßnahmen wie Timeouts, Connection-Rate-Limits oder begrenzte Threads verlassen.
Der Markt- und Patchkontext ist mindestens genauso wichtig wie die Technik. Die OpenSSL-Fixversionen sind OpenSSL 4.0.1, 3.6.3, 3.5.7, 3.4.6 und 3.0.21, jeweils mit Datum 9. Juni. Entscheidend: Laut dem Bericht wurde der Bug ohne CVE, ohne Security Advisory und ohne klar referenzierende Changelog-Einträge adressiert. Damit können Scanner und OVAL-Feeds, die auf CVE-IDs matchen, den Handlungsbedarf übersehen. Gleichzeitig zeigen Beispiele aus demselben Release-Zeitfenster, dass andere Speicherexhaustion-Themen (etwa im QUIC PATH_CHALLENGE-Handler) sehr wohl mit CVE-Nummern und Einstufungen versehen wurden – HollowByte fällt jedoch in eine Lücke zwischen „Bugfix“ und „offiziell benannter Schwachstelle“.
OpenSSL selbst klassifiziert das Vorgehen intern als „bug or hardening“ und ordnet es nicht den üblichen Schweregraden zu, die typischerweise CVEs und begleitende Veröffentlichungen auslösen. Das ist für Sicherheitsverantwortliche ein praktisches Problem: Wenn der Paketmaintainer nur „backportet“, berichten Versionserkennungssysteme weiterhin den ursprünglichen Build-Stand, obwohl der Patch bereits enthalten sein kann. Die Gegenstrategie lautet daher: Den OpenSSL-Quellstand bzw. die Maintainer-Changelogs prüfen oder – wenn man selbst baut – explizit auf die genannten Fix-Releases gehen und danach den betroffenen Prozess neu starten. Als zusätzliche Klarheit: Der Patch fokussiert auf TLS; DTLS wurde offenbar bewusst weniger invasiv behandelt.
Blick nach vorn zeigt, warum das Thema für Enterprise-Teams jetzt organisatorisch nachschärfen sollte. Erstens sollten CI/CD- und Security-Workflows stärker als bisher „Patch-Propagation“ anhand von Commit-/Pull-Request-Metadaten oder konkret enthaltenen Diff-Artefakten überprüfen, nicht nur anhand von CVE-Listen. Zweitens lohnt sich ein Abgleich mit der Runtime-Umgebung: glibc-Allocator-Strategien, Container-Größen und ulimit-/OOM-Settings können den Effekt massiv verschieben. Drittens bleibt die Frage offen, ob der DTLS-Pfad in weiteren Deployment-Varianten ebenfalls betroffen ist, weil der Buffer-sizing-Mechanismus dort weiterhin vom peer deklarierten Längenwert ausgehen könnte. In der nächsten Iteration sollten Betreiber daher auch eigene Staging-Lasttests mit „halb offenen“ Handshake-Varianten ansetzen, statt nur Timeout-Policies zu kontrollieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OpenSSL „HollowByte“: 11-Byte-TLS-Anfragen frieren Server-Speicher ein" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OpenSSL „HollowByte“: 11-Byte-TLS-Anfragen frieren Server-Speicher ein" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OpenSSL „HollowByte“: 11-Byte-TLS-Anfragen frieren Server-Speicher ein« bei Google Deutschland suchen, bei Bing oder Google News!