نشر مشروع OpenSSL في 29 سبتمبر 2026 نشرة أمنية تغطي أربع عشرة ثغرة. وأصدرت دبيان في 30 سبتمبر النشرة DSA-6531-1 لدبيان 13 (trixie) وعالجت فيها 13 ثغرة منها، ثم أصدر فريق الدعم الممتد LTS في 26 أكتوبر النشرة DLA-4859-1 لدبيان 12 (bookworm) لمعالجة الثغرات الست التي تمس الإصدار 3.0. يصنّف OpenSSL ثغرة واحدة بأنها عالية الخطورة والبقية منخفضة.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | openssl |
| دبيان 13 (trixie) | الإصلاح في 3.5.7-1~deb13u3 (النشرة DSA-6531-1، 30 سبتمبر 2026) |
| دبيان 12 (bookworm) | الإصلاح في 3.0.22-1~deb12u2 (النشرة DLA-4859-1، 26 أكتوبر 2026) |
| الحزم الثنائية التي تُفحص | openssl وlibssl3t64 في trixie أو libssl3 في bookworm، إضافة إلى libssl-dev إن وُجدت |
| الثغرات | 13 ثغرة في DSA-6531-1، ست منها في DLA-4859-1 |
| الخطورة | عالية للثغرة CVE-2026-84782 بحسب تصنيف OpenSSL، ومنخفضة لبقية الثغرات |
| النشرة الأصلية | نشرة OpenSSL بتاريخ 20260929 |
ما طبيعة الثغرات
تلخص دبيان هذه المجموعة بأنها قد تؤدي إلى حجب الخدمة أو كشف معلومات أو ربما استرجاع مفاتيح خاصة. وبعبارة مبسطة:
- خلل في إعادة إرسال رسائل DTLS (CVE-2026-84782، عالية). عندما تتوقف كتابة رسالة مصافحة DTLS مؤقتاً ثم يعمل مؤقت إعادة الإرسال، قد يعيد OpenSSL إرسال بيانات من موضع خاطئ في الذاكرة. ويذكر OpenSSL أن ذلك قد يكشف جزءاً من ذاكرة الكومة للطرف الآخر أو يتسبب في توقف العملية. تمس الثغرة كل الفروع المدعومة ومنها 3.0 و3.5 الموجودان في دبيان، لكنها تخص فقط البرامج التي تستخدم DTLS، أي نسخة TLS العاملة فوق UDP.
- إنهاء جلسات DTLS 1.2 (CVE-2026-75806، منخفضة). يمكن لحزمة واحدة غير موثقة وصغيرة الحجم أن تنهي جلسة DTLS 1.2 قائمة تستخدم تشفير AEAD، دون أثر على سلامة الذاكرة أو السرية.
- قنوات جانبية زمنية (CVE-2026-54872 وCVE-2026-77696 وCVE-2026-54875، منخفضة). قد يكشف توقيع ECDSA على المنحنيات العامة مثل Brainpool، وكذلك توقيع SM2، معلومات زمنية عن القيمة السرية المؤقتة. ويوضح OpenSSL أن التسرب ضئيل جداً ويتطلب عدداً كبيراً من القياسات الدقيقة، وأن منحنيات NIST الشائعة P-256 وP-384 وP-521 تستخدم شيفرة ثابتة الزمن.
- استهلاك الذاكرة عبر الشهادات (CVE-2026-35189، منخفضة). شهادة مصممة بعدد كبير من نقاط توزيع قوائم الإلغاء قد تستهلك ذاكرة كبيرة لدى العملاء أو الخوادم التي تطلب شهادات العملاء.
- توقف عميل CMP (CVE-2026-75805، منخفضة). رد إلغاء مصمم بعناية قد يوقف عميل بروتوكول إدارة الشهادات.
- ثغرات QUIC (CVE-2026-35191 وCVE-2026-42772 وCVE-2026-54873 وCVE-2026-75804 وCVE-2026-84784، منخفضة). تضخيم واستنزاف للمعالج والذاكرة في تطبيق QUIC الخاص بـ OpenSSL، وتمس الإصدار 3.4 أو 3.5 وما بعدهما فقط، أي دبيان 13 وحده.
- وصول خارج الحدود بعد
SSL_set_SSL_CTX()(CVE-2026-72897، منخفضة). تخص خوادم TLS التي تبدّل السياق أثناء المصافحة في إعداد غير افتراضي، وفي الإصدار 3.4 وما بعده فقط.
أما الثغرة الرابعة عشرة في النشرة الأصلية CVE-2026-84783 (متوسطة) فتمس OpenSSL 4.0 فقط، وهو إصدار لا يأتي مع دبيان 12 ولا دبيان 13. ولا تظهر أي من هذه الثغرات في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026.
حصل دبيان 12 أيضاً على النشرة DLA-4795-1 في 25 سبتمبر (الإصدار 3.0.22-1~deb12u1) لست ثغرات سابقة، ومن توقف عند ذلك الإصدار ما زال يحتاج إلى البناء الأحدث ~deb12u2.
هل أنت متأثر؟
تكاد كل خوادم دبيان تحتوي على مكتبة libssl، ولو لأن openssh-server يعتمد عليها، لذلك السؤال هو الإصدار المثبت:
dpkg-query -W -f='${Package} ${Version}\n' openssl 'libssl3*'
apt policy libssl3t64 # Debian 13
apt policy libssl3 # Debian 12قارن سطر Installed بالإصدار 3.5.7-1~deb13u3 في trixie أو 3.0.22-1~deb12u2 في bookworm، وأي إصدار أقدم يحتاج إلى التحديث. أما دبيان 11 (bullseye) فقد انتهى دعمه الممتد في 31 أغسطس 2026 ولن يتلقى إصلاحات من دبيان، فخطط للترقية.
طريقة التحديث
sudo apt update
sudo apt upgradeولتحديث OpenSSL وحده:
sudo apt install --only-upgrade openssl libssl3t64 # Debian 13
sudo apt install --only-upgrade openssl libssl3 # Debian 12تستخدم أوبونتو إصدارات مختلفة من OpenSSL، لذا راجع نشرات أوبونتو الأمنية بدلاً من أرقام دبيان أعلاه.
هل تحتاج إلى إعادة تشغيل؟
لا تتطلب المكتبة إعادة تشغيل الخادم، لكن كل برنامج يعمل وقد حمّل نسخة libssl القديمة يظل يستخدمها حتى يُعاد تشغيله، مثل خوادم الويب والبريد وخدمات VPN وبيئات تشغيل اللغات. وتعرض حزمة needrestart قائمة بها:
sudo apt install needrestart
sudo needrestart -r lأعد تشغيل الخدمات التي تظهر، مثل sudo systemctl restart nginx. وعلى الخوادم الصغيرة تكون إعادة التشغيل المجدولة أبسط طريقة للتأكد من أن لا شيء ما زال يستخدم المكتبة القديمة.
المصادر
- security-tracker.debian.org/tracker/DSA-6531-1
- debian.org/security/2026/dsa-6531
- lists.debian.org/debian-security-announce/2026/msg00444.html
- security-tracker.debian.org/tracker/DLA-4859-1
- lists.debian.org/debian-lts-announce/2026/10/msg00053.html
- security-tracker.debian.org/tracker/DLA-4795-1
- lists.debian.org/debian-lts-announce/2026/09/msg00030.html
- openssl-library.org/news/secadv/20260929.txt
- cve.org/CVERecord?id=CVE-2026-84782
- cve.org/CVERecord?id=CVE-2026-84783
- security-tracker.debian.org/tracker/openssl
- packages.debian.org/source/trixie/openssl
- packages.debian.org/source/bookworm/openssl
- manpages.debian.org/trixie/needrestart/needrestart.1.en.html
- debian.org/releases
- packages.debian.org/trixie/openssh-server
Comments
0 total · 0 threads