OpenSSL-Schwachstelle ermöglicht Informationsabfluss auf Linux-Systemen

In OpenSSL wurde eine Sicherheitslücke (CVE-2026-31790) entdeckt, die es Angreifern unter bestimmten Bedingungen ermöglicht, vertrauliche Informationen auszuspähen. Betroffen sind Linux-Systeme, auf denen OpenSSL oder die Golang-FIPS-OpenSSL-Bibliothek eingesetzt wird.

Risikobewertung: Die Schwachstelle wird als mittleres Risiko eingestuft. OpenSSL ist auf nahezu allen Linux-Plattformen systemweit im Einsatz und damit ein weitverbreitetes Angriffsziel. Die Ausnutzung erfordert jedoch spezifische Voraussetzungen, was das unmittelbare Risiko begrenzt. Besonders kritisch ist die Lage bei Systemen, die TLS-Verbindungen terminieren – etwa Webserver wie nginx oder Apache sowie Exchange-Proxies.

Was ist zu tun?

• OpenSSL-Version auf allen Linux-Systemen prüfen, insbesondere auf SLES 15, Ubuntu 22.04/24.04 und Debian 12/13.
• Verfügbare Sicherheitsupdates umgehend einspielen. Für RHEL-basierte Systeme sind Patches bereits verfügbar.
• Für Ubuntu- und Debian-Systeme sollten Patches separat über die jeweiligen Paketquellen geprüft werden.
• Systeme mit TLS-Terminierung (nginx, Apache, Reverse-Proxies) vorrangig behandeln.
• Aktualisierungen innerhalb der nächsten 30 Tage abschließen.

Hintergrund: OpenSSL ist eine weit verbreitete Kryptografiebibliothek, die verschlüsselte Verbindungen (TLS/SSL) in zahlreichen Anwendungen und Diensten absichert. Eine Information-Disclosure-Schwachstelle kann dazu führen, dass sensible Daten wie Schlüsselmaterial oder Kommunikationsinhalte unbeabsichtigt offengelegt werden.

Quelle: DFN-CERT Advisory 2026-1641 · Risikostufe: MITTEL · Generiert am 23.06.2026