HollowByte: 11 bytes são suficientes para saturar a memória de um servidor OpenSSL

A falha HollowByte no OpenSSL permite que um atacante envie uma solicitação TLS de 11 bytes para inflar a memória do servidor até a saturação. Uma relação ataque/impacto raramente alcançada, em uma biblioteca presente em milhões de servidores.

O que

Uma vulnerabilidade em OpenSSL, chamada HollowByte, permite que um atacante envie uma solicitação TLS de apenas 11 bytes para causar uma alocação desproporcional de memória no servidor — e derrubá-lo. Um vetor de DoS (Denial of Service) de eficiência preocupante para tão poucos dados enviados.

Quem é afetado

Qualquer servidor HTTPS, SMTP/TLS ou FTPS que utilize uma versão vulnerável do OpenSSL — potencialmente milhões de servidores em todo o mundo. A maioria das distribuições Linux (Debian, Ubuntu, RHEL, Alpine) inclui o OpenSSL; os contêineres Docker geralmente herdam a versão de sua imagem base.

Como funciona

O HollowByte explora um defeito no processamento das extensões TLS durante o handshake (o aperto de mão inicial que estabelece uma conexão criptografada). Quando o servidor recebe a solicitação malformada de 11 bytes, ele aloca até 131 KB de memória por solicitação antes de verificar a validade dos dados. O atacante repete a operação em loop para saturar a RAM do servidor — sem autenticação, sem sessão estabelecida.

Em sistemas testados com glibc pela Okta, essa memória permanece bloqueada até a reinicialização do processo. Uma proporção de 11 bytes de entrada para 131 KB alocados é raramente atingida em ampliações clássicas de DDoS.

Um patch discreto, sem CVE

Fato notável: o OpenSSL lançou o patch HollowByte em junho de 2026 — sem CVE atribuído, sem comunicado oficial, sem entrada no changelog que aponte explicitamente para a vulnerabilidade. A descoberta e a análise detalhada do problema foram publicadas após a correção, por pesquisadores independentes e pela Okta.

Consequência prática: equipes que não acompanham de perto os patches do OpenSSL podem ter passado despercebidas pelo problema sem saber.

Análise

O OpenSSL não é apenas uma biblioteca para servidores web. Ele está embutido em equipamentos de rede, contêineres, IoT, serviços em nuvem e ferramentas de linha de comando. O alcance vai muito além do Apache ou nginx.

O HollowByte não permite a execução de código — é um DoS, não um RCE. Mas um servidor fora do ar em produção é suficiente para ataques de extorsão ou para mascarar uma intrusão simultânea ao saturar as equipes de resposta.

O que fazer agora

• Verificar a versão do OpenSSL instalada e garantir que o patch de junho foi aplicado
• Controlar a versão embutida em seus contêineres: openssl version — a imagem base pode ser antiga mesmo que o restante esteja atualizado
• Monitorar picos incomuns de uso de memória em seus servidores TLS
• Ativar o rate limiting nas conexões TLS de entrada, se sua infraestrutura permitir