OpenSSL corregge un DoS invisibile ai normali scanner
Il punto debole non è il numero di connessioni, ma la memoria che resta bloccata dietro ogni handshake incompleto. OpenSSL ha trattato HollowByte come un bug o hardening, non come un advisory classico: per chi si affida a scanner e pipeline guidate dai changelog, il fix può restare fuori campo anche se è già stato rilasciato.
Le correzioni sono arrivate il 9 giugno nelle versioni 4.0.1, 3.6.3, 3.5.7, 3.4.6 e 3.0.21, senza CVE, senza advisory e senza nota nei changelog. Il problema permette a richieste TLS di 11 byte di far allocare fino a 131 KB per connessione; sui sistemi glibc testati da Okta, quei blocchi restano frammentati e l’RSS cresce anche dopo il reset della connessione.
Per gli operatori di servizi che terminano TLS, il rischio non è solo essere vulnerabili. È restare convinti di essere coperti perché la telemetria e i flussi di patch non segnalano nulla.