OpenSSL HollowByte-Sicherheitslücke entdeckt

Eine kürzlich entdeckte Sicherheitsanfälligkeit in OpenSSL, bekannt als HollowByte, könnte gravierende Auswirkungen auf Server haben, die nicht gepatcht sind. Diese Schwachstelle ermöglicht es, dass ein ungeschützter OpenSSL-Server bis zu 131 KB Speicher für eine Nachricht reserviert, die niemals ankommt. Dies könnte zu einem Denial-of-Service (DoS) führen, da der reservierte Speicher bis zum Neustart des Prozesses verloren bleibt.

Die HollowByte-Schwachstelle wurde von Okta's Red Team identifiziert und gemeldet. Die Forscher fanden heraus, dass die Anfälligkeit auf glibc-Systemen auftritt, die von Okta getestet wurden. Die Tatsache, dass ein Server durch das Senden einer nur 11 Byte langen TLS-Anfrage in einen Zustand versetzt werden kann, in dem er Speicher blockiert, ist besorgniserregend.

Details zur HollowByte-Schwachstelle

OpenSSL hat im Juni 2026 einen Fix für die HollowByte-Schwachstelle veröffentlicht. Interessanterweise wurde dieser Patch ohne eine zugehörige Common Vulnerabilities and Exposures (CVE)-Nummer, ohne offizielle Mitteilung und ohne Eintrag im Änderungsprotokoll veröffentlicht. Dies hat zu Bedenken hinsichtlich der Transparenz und der Kommunikation von Sicherheitsupdates in der OpenSSL-Community geführt.

Die Entdeckung der HollowByte-Schwachstelle wirft Fragen über die Sicherheitspraktiken auf, die bei der Entwicklung und Wartung von OpenSSL angewendet werden. Die Tatsache, dass ein so kritisches Problem ohne angemessene Dokumentation behoben wurde, könnte dazu führen, dass viele Administratoren und Unternehmen nicht über die Notwendigkeit informiert sind, ihre Systeme zu aktualisieren.

Okta's Red Team hat die Schwachstelle als ernsthaft eingestuft und empfiehlt, dass alle betroffenen Systeme umgehend aktualisiert werden. Die Auswirkungen dieser Schwachstelle könnten weitreichend sein, insbesondere in Umgebungen, in denen OpenSSL weit verbreitet ist, wie zum Beispiel in Webservern und anderen Netzwerkdiensten.

Reaktionen aus der Sicherheitsgemeinschaft

Die Sicherheitsgemeinschaft hat auf die Entdeckung der HollowByte-Schwachstelle mit Besorgnis reagiert. Experten warnen davor, dass ungeschützte Systeme anfällig für Angriffe sind, die diese Schwachstelle ausnutzen könnten. Die Tatsache, dass der Patch ohne angemessene Kommunikation veröffentlicht wurde, könnte dazu führen, dass viele Administratoren unwissentlich gefährdete Systeme betreiben.

Die Diskussion über die HollowByte-Schwachstelle hat auch die Notwendigkeit einer besseren Dokumentation und Kommunikation von Sicherheitsupdates in der OpenSSL-Community hervorgehoben. Viele in der Branche fordern eine Überprüfung der Prozesse, die zur Veröffentlichung von Sicherheitsupdates führen, um sicherzustellen, dass solche kritischen Informationen nicht übersehen werden.

Die HollowByte-Schwachstelle ist ein weiteres Beispiel für die Herausforderungen, mit denen die Sicherheitsgemeinschaft konfrontiert ist, wenn es darum geht, Software sicher zu halten. Die Entdeckung solcher Schwachstellen zeigt, wie wichtig es ist, dass Unternehmen und Organisationen proaktive Maßnahmen ergreifen, um ihre Systeme zu schützen.

Die OpenSSL-Entwickler haben die Bedeutung der Schwachstelle anerkannt und arbeiten daran, die Kommunikation über zukünftige Sicherheitsupdates zu verbessern. Die HollowByte-Schwachstelle könnte als Weckruf für die gesamte Branche dienen, um die Sicherheitspraktiken zu überdenken und sicherzustellen, dass alle Systeme regelmäßig aktualisiert werden.