Vulnerabilidad en OpenSSL (CVE-2026-42766)

Resumen del problema: Un mensaje CMS cifrado con contraseña especialmente diseñado puede desencadenar una desreferencia de puntero NULL durante el descifrado CMS.<br /> <br /> Resumen del impacto: Esta desreferencia de puntero NULL conduce a un fallo de la aplicación y a una denegación de servicio.<br /> <br /> El campo CMS PasswordRecipientInfo.keyDerivationAlgorithm se define como OPCIONAL en la especificación ASN.1 y, por lo tanto, puede estar ausente en entradas especialmente diseñadas. Durante el descifrado CMS basado en contraseña, la implementación CMS de OpenSSL desreferencia este campo sin comprobar primero si estaba presente.<br /> <br /> Un atacante que suministra un mensaje CMS de este tipo a una aplicación que realiza el descifrado CMS basado en contraseña puede desencadenar un fallo de la aplicación, lo que lleva a una denegación de servicio.<br /> <br /> Las aplicaciones que procesan mensajes CMS cifrados con contraseña pueden verse afectadas.<br /> <br /> Los módulos FIPS en 4.0, 3.6, 3.5, 3.4 y 3.0 no se ven afectados por este problema, ya que el código afectado está fuera del límite del módulo FIPS de OpenSSL.