OpenSSL е безплатен софтуерен проект, базиран на SSLeay.
Беше разпространена информация за издаване на коригираща версия на крипто библиотеката OpenSSL 3.0.7, който поправя две уязвимостикато коя и защо е пусната тази коригираща версия чрез препълване на буфера, използвано при валидиране на X.509 сертификати.
Струва си да се спомене това и двата проблема са причинени от препълване на буфера в кода за валидиране на полето за имейл адрес в X.509 сертификати и може да причини изпълнение на код при обработка на специално създаден сертификат.
По време на пускането на корекцията разработчиците на OpenSSL не са съобщили за съществуването на функционален експлойт, който може да доведе до изпълнение на кода на атакуващия.
Има случай, при който сървърите могат да бъдат експлоатирани чрез TLS клиентско удостоверяване, което може да заобиколи изискванията за подписване на CA, тъй като клиентските сертификати обикновено не се изискват да бъдат подписвани от доверен CA. Тъй като удостоверяването на клиента е рядко и повечето сървъри не го активират, експлоатирането на сървъра трябва да е с нисък риск.
Нападателите може да използва тази уязвимост, като насочи клиента към злонамерен TLS сървър който използва специално изработен сертификат за задействане на уязвимостта.
Въпреки че съобщението за предварителна версия за новата версия споменава критичен проблем, всъщност в издадената актуализация състоянието на уязвимостта беше понижено до Опасен, но не и Критичен.
Съгласно правилата, приети в проекта, на нивото на сериозност се понижава в случай на проблем в нетипични конфигурации или в случай на ниска вероятност за използване на уязвимост на практика. В този случай нивото на сериозност е понижено, тъй като използването на уязвимостта е блокирано от механизмите за защита от препълване на стека, използвани на много платформи.
Предишни съобщения на CVE-2022-3602 описваха този проблем като КРИТИЧЕН. Допълнителен анализ, базиран на някои от смекчаващите фактори, описани по-горе, доведе до понижаване на това до ВИСОКО.
Потребителите все още се насърчават да актуализират до нова версия възможно най-скоро. На TLS клиент това може да се задейства чрез свързване към злонамерен сървър. На TLS сървър това може да се задейства, ако сървърът поиска удостоверяване на клиента и злонамерен клиент се свърже. OpenSSL версии 3.0.0 до 3.0.6 са уязвими за този проблем. Потребителите на OpenSSL 3.0 трябва да надстроят до OpenSSL 3.0.7.
от идентифицираните проблеми се споменава следното:
CVE-2022 3602-- Първоначално докладвана като критична, уязвимостта причинява препълване на 4-байтов буфер при проверка на специално създадено поле за имейл адрес в X.509 сертификат. На TLS клиент уязвимостта може да се използва чрез свързване към сървър, контролиран от нападателя. На TLS сървър уязвимостта може да бъде използвана, ако се използва удостоверяване на клиент чрез сертификати. В този случай уязвимостта се проявява в етапа след проверката на веригата на доверие, свързана със сертификата, тоест атаката изисква от сертифициращия орган да потвърди злонамерения сертификат на нападателя.
CVE-2022 3786-: Това е друг вектор за използване на уязвимостта CVE-2022-3602, идентифицирана по време на анализа на проблема. Разликите се свеждат до възможността за препълване на буфера на стека с произволен брой байтове. съдържащ знака "." Проблемът може да се използва за причиняване на срив на приложение.
Уязвимостите се появяват само в клона OpenSSL 3.0.x, OpenSSL версии 1.1.1, както и библиотеките LibreSSL и BoringSSL, извлечени от OpenSSL, не са засегнати от проблема. В същото време беше пусната актуализация на OpenSSL 1.1.1s, съдържаща само корекции на грешки, които не са свързани със сигурността.
Клонът OpenSSL 3.0 се използва от дистрибуции като Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. На потребителите на тези системи се препоръчва да инсталират актуализации възможно най-скоро (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch).
В SUSE Linux Enterprise 15 SP4 и openSUSE Leap 15.4 пакетите с OpenSSL 3.0 са налични като опция, системните пакети използват разклонението 1.1.1. Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16 и FreeBSD остават в клоновете на OpenSSL 1.x.
Накрая ако се интересувате да научите повече за това, можете да проверите подробностите в следваща връзка.