Alerta Crítico: Falha HollowByte no OpenSSL Permite Ataque de Congelamento de Servidores

A falha HollowByte no OpenSSL é um ataque de negação de serviço (DoS) particularmente insidioso. Com uma requisição TLS de apenas 11 bytes, um invasor pode forçar o servidor a alocar até 131 KB de memória. O mais crítico é que, em sistemas que utilizam glibc, essa memória não é liberada após a conexão ser encerrada. Ela permanece retida até que o processo seja reiniciado, levando à fragmentação do heap e ao eventual esgotamento dos recursos.

A Okta, responsável pela descoberta, observou que servidores NGINX testados foram derrubados com centenas de megabytes de memória congelados. A OpenSSL, por sua vez, implementou a correção em 9 de junho de 2026, mas de forma discreta, sem um CVE atribuído, sem aviso oficial ou menção em seu changelog. Essa decisão dificulta a detecção por scanners de segurança e o rastreamento de backports, expondo sistemas críticos a riscos de inoperabilidade.

Em 10 de junho de 2026, o CEVIU News informou que o OpenSSL havia liberado correções para 18 falhas, incluindo uma vulnerabilidade de alta severidade (CVE-2026-45447) em PKCS#7. A notícia atual, sobre a HollowByte, revela uma inconsistência crucial na gestão de vulnerabilidades do OpenSSL. Embora outras falhas no mesmo pacote de atualizações de 9 de junho de 2026 tenham recebido CVEs e avisos públicos, a HollowByte foi corrigida sem qualquer identificador ou comunicação. Isso marca uma diferença na forma como o OpenSSL triou e divulgou uma falha de negação de serviço que, para a Okta, tem um impacto considerável.

A HollowByte representa um risco sério de negação de serviço para infraestruturas que dependem do OpenSSL, como servidores web e APIs. A simplicidade do ataque e a persistência do esgotamento de memória podem derrubar serviços essenciais. A ausência de um CVE e de documentação clara impede que as equipes de segurança identifiquem e corrijam a falha de maneira eficaz, tornando os sistemas vulneráveis sem que os administradores saibam. Essa situação questiona a transparência dos processos de segurança de um projeto de código aberto tão vital e força as organizações a adotarem medidas proativas de atualização e reinício de serviços.