CVE-2026-42327

rust-openssl provides OpenSSL bindings for the Rust programming language. From 0.9.7 to before 0.10.79, X509Ref::ocspresponders returns OCSP responder URLs from a certificate's AIA extension as OpensslString, whose Deref<Target = str> wraps the raw bytes with str::fromutf8_unchecked. OpenSSL does not enforce that the underlying IA5String is ASCII, so a certificate with non-UTF-8 bytes in its OCSP accessLocation causes safe Rust code to construct a &str that violates the UTF-8 invariant — resulting in undefined behavior. This vulnerability is fixed in 0.10.79.

Database specific

{
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/42xxx/CVE-2026-42327.json",
    "cwe_ids": [
        "CWE-20"
    ],
    "cna_assigner": "GitHub_M"
}

References

Affected packages

Git / github.com/rust-openssl/rust-openssl

Affected ranges

Type: GIT
Repo: https://github.com/rust-openssl/rust-openssl
Events: Introduced

06065ddcee2abd5304a0aacb9643b925d504bb8b

Fixed

649f2d9e37f3aa701e20bd8ab5cd7eb5afa0a90f

Affected versions

openssl-errors-v0.*

openssl-errors-v0.1.0

openssl-errors-v0.2.0

openssl-macros-v0.*

openssl-macros-v0.1.0

openssl-macros-v0.1.1

openssl-sys-v0.*

openssl-sys-v0.9.100

openssl-sys-v0.9.101

openssl-sys-v0.9.102

openssl-sys-v0.9.103

openssl-sys-v0.9.104

openssl-sys-v0.9.105

openssl-sys-v0.9.106

openssl-sys-v0.9.107

openssl-sys-v0.9.108

openssl-sys-v0.9.109

openssl-sys-v0.9.110

openssl-sys-v0.9.111

openssl-sys-v0.9.112

openssl-sys-v0.9.113

openssl-sys-v0.9.114

openssl-sys-v0.9.24

openssl-sys-v0.9.25

openssl-sys-v0.9.26

openssl-sys-v0.9.27

openssl-sys-v0.9.28

openssl-sys-v0.9.30

openssl-sys-v0.9.31

openssl-sys-v0.9.32

openssl-sys-v0.9.33

openssl-sys-v0.9.35

openssl-sys-v0.9.36

openssl-sys-v0.9.37

openssl-sys-v0.9.38

openssl-sys-v0.9.39

openssl-sys-v0.9.40

openssl-sys-v0.9.41

openssl-sys-v0.9.42

openssl-sys-v0.9.43

openssl-sys-v0.9.44

openssl-sys-v0.9.45

openssl-sys-v0.9.46

openssl-sys-v0.9.47

openssl-sys-v0.9.48

openssl-sys-v0.9.49

openssl-sys-v0.9.50

openssl-sys-v0.9.51

openssl-sys-v0.9.52

openssl-sys-v0.9.53

openssl-sys-v0.9.54

openssl-sys-v0.9.55

openssl-sys-v0.9.56

openssl-sys-v0.9.57

openssl-sys-v0.9.58

openssl-sys-v0.9.59

openssl-sys-v0.9.60

openssl-sys-v0.9.61

openssl-sys-v0.9.62

openssl-sys-v0.9.63

openssl-sys-v0.9.64

openssl-sys-v0.9.65

openssl-sys-v0.9.66

openssl-sys-v0.9.67

openssl-sys-v0.9.68

openssl-sys-v0.9.69

openssl-sys-v0.9.70

openssl-sys-v0.9.71

openssl-sys-v0.9.72

openssl-sys-v0.9.73

openssl-sys-v0.9.74

openssl-sys-v0.9.75

openssl-sys-v0.9.76

openssl-sys-v0.9.77

openssl-sys-v0.9.78

openssl-sys-v0.9.79

openssl-sys-v0.9.80

openssl-sys-v0.9.81

openssl-sys-v0.9.82

openssl-sys-v0.9.83

openssl-sys-v0.9.84

openssl-sys-v0.9.85

openssl-sys-v0.9.86

openssl-sys-v0.9.87

openssl-sys-v0.9.88

openssl-sys-v0.9.89

openssl-sys-v0.9.90

openssl-sys-v0.9.91

openssl-sys-v0.9.92

openssl-sys-v0.9.93

openssl-sys-v0.9.94

openssl-sys-v0.9.95

openssl-sys-v0.9.96

openssl-sys-v0.9.97

openssl-sys-v0.9.98

openssl-sys-v0.9.99

openssl-v0.*

openssl-v0.10.0

openssl-v0.10.1

openssl-v0.10.10

openssl-v0.10.11

openssl-v0.10.12

openssl-v0.10.13

openssl-v0.10.14

openssl-v0.10.15

openssl-v0.10.16

openssl-v0.10.17

openssl-v0.10.18

openssl-v0.10.19

openssl-v0.10.2

openssl-v0.10.20

openssl-v0.10.21

openssl-v0.10.22

openssl-v0.10.23

openssl-v0.10.24

openssl-v0.10.25

openssl-v0.10.26

openssl-v0.10.27

openssl-v0.10.28

openssl-v0.10.29

openssl-v0.10.3

openssl-v0.10.30

openssl-v0.10.31

openssl-v0.10.32

openssl-v0.10.33

openssl-v0.10.34

openssl-v0.10.35

openssl-v0.10.36

openssl-v0.10.37

openssl-v0.10.38

openssl-v0.10.39

openssl-v0.10.4

openssl-v0.10.40

openssl-v0.10.41

openssl-v0.10.42

openssl-v0.10.43

openssl-v0.10.44

openssl-v0.10.45

openssl-v0.10.46

openssl-v0.10.47

openssl-v0.10.48

openssl-v0.10.49

openssl-v0.10.5

openssl-v0.10.50

openssl-v0.10.51

openssl-v0.10.52

openssl-v0.10.53

openssl-v0.10.54

openssl-v0.10.55

openssl-v0.10.56

openssl-v0.10.57

openssl-v0.10.58

openssl-v0.10.59

openssl-v0.10.6

openssl-v0.10.60

openssl-v0.10.61

openssl-v0.10.62

openssl-v0.10.63

openssl-v0.10.64

openssl-v0.10.65

openssl-v0.10.66

openssl-v0.10.67

openssl-v0.10.68

openssl-v0.10.69

openssl-v0.10.7

openssl-v0.10.70

openssl-v0.10.71

openssl-v0.10.72

openssl-v0.10.73

openssl-v0.10.74

openssl-v0.10.75

openssl-v0.10.76

openssl-v0.10.77

openssl-v0.10.78

openssl-v0.10.8

openssl-v0.10.9

openssl-v0.9.27

v0.*

v0.9.10

v0.9.11

v0.9.12

v0.9.13

v0.9.14

v0.9.15

v0.9.16

v0.9.17

v0.9.18

v0.9.19

v0.9.20

v0.9.21

v0.9.22

v0.9.23

v0.9.7

v0.9.8

v0.9.9

Database specific

source

"https://storage.googleapis.com/osv-test-cve-osv-conversion/osv-output/CVE-2026-42327.json"