OpenSSL'de Bulunan HollowByte Açığı Sunucuları Bellek Tüketimiyle Çökertiyor

Okta Red Team tarafından keşfedilen ve HollowByte olarak adlandırılan zafiyet, sunucu kaynaklarını hedef alan ciddi bir hizmet dışı bırakma (DoS) riski taşıyor. Saldırganlar, sadece 11 baytlık bir TLS isteği göndererek, sunucunun bu mesajın devamını beklemek üzere 131 KB'a kadar bellek ayırmasını sağlayabiliyor. Ancak beklenen veri hiçbir zaman ulaşmadığı için, ayrılan bu bellek alanı süreç yeniden başlatılana kadar sistem tarafından geri kazanılamıyor.

Testler, özellikle glibc tabanlı sistemlerde bu bellek sızıntısının kalıcı olduğunu ve sunucu performansını hızla düşürerek sistemin yanıt veremez hale gelmesine yol açtığını gösteriyor. Okta, bu zafiyeti raporladıktan sonra geliştirici ekip tarafından Haziran ayında bir düzeltme yayınlandığını belirtti.

Söz konusu açık, yamalanmamış sunucuların küçük veri paketleriyle bile kolayca devre dışı bırakılmasına olanak tanıdığı için, güncel sürümlere geçiş yapmak sunucu kararlılığı açısından kritik bir adım olarak öne çıkıyor.