OpenSSL presentó una falla crítica llamada HollowByte que permite a atacantes congelar grandes cantidades de memoria en servidores que usan versiones sin parchear, mediante solicitudes TLS de apenas 11 bytes. Esta vulnerabilidad fue reportada por el equipo Red Team de Okta y afecta múltiples ramas de OpenSSL antes de las versiones corregidas lanzadas el 9 de junio de 2026.
Por qué importa: HollowByte puede agotar la memoria del servidor sin superar límites normales de conexiones, dificultando la defensa con métodos tradicionales y afectando la disponibilidad del servicio.
Lo esencial
- La falla permite reservar hasta 131 KB de memoria por cada solicitud TLS incompleta.
- glibc retiene la memoria liberada, causando fragmentación y bloqueo prolongado.
- Versiones afectadas incluyen OpenSSL anteriores a 4.0.1, 3.6.3, 3.5.7, 3.4.6 y 3.0.21.
Detalles técnicos de HollowByte
El problema radica en que OpenSSL acepta el tamaño declarado en el encabezado TLS para reservar memoria antes de recibir el cuerpo completo del mensaje. Un atacante puede enviar un encabezado con un tamaño alto y no completar la solicitud, lo que bloquea la memoria asignada. En sistemas con glibc, la memoria liberada no vuelve al sistema operativo sino que queda retenida para reutilización, pero la variación constante del tamaño impide su reutilización, causando fragmentación y aumento del uso de memoria.
Impacto en servidores y pruebas de Okta
Okta demostró que en un servidor con 16 GB de RAM, HollowByte puede bloquear hasta un 25% de la memoria sin superar el límite de conexiones simultáneas. En pruebas con NGINX, un servidor de 1 GB fue terminado por falta de memoria con 547 MB congelados. Esto evidencia que las defensas tradicionales basadas en limitar conexiones no son efectivas contra este ataque.
