ओपनएसएसएल एसएसएलई पर आधारित एक मुफ्त सॉफ्टवेयर प्रोजेक्ट है।
के बारे में जानकारी जारी की गई के सुधारात्मक संस्करण का विमोचन क्रिप्टो लाइब्रेरी ओपनएसएसएल 3.0.7, जो दो कमजोरियों को ठीक करता हैयह सुधारात्मक संस्करण किसके और क्यों जारी किया गया है X.509 प्रमाणपत्रों को मान्य करते समय बफर अतिप्रवाह द्वारा शोषण किया गया।
यह उल्लेखनीय है दोनों समस्याएं बफर ओवरफ्लो के कारण होती हैं X.509 प्रमाणपत्रों में ईमेल पता फ़ील्ड को मान्य करने के लिए कोड में और विशेष रूप से तैयार किए गए प्रमाणपत्र को संसाधित करते समय कोड निष्पादन का कारण बन सकता है।
फिक्स जारी होने के समय, ओपनएसएसएल डेवलपर्स ने एक कार्यात्मक शोषण के अस्तित्व की सूचना नहीं दी थी जिससे हमलावर के कोड का निष्पादन हो सकता था।
एक ऐसा मामला है जहां सर्वर का शोषण किया जा सकता है टीएलएस क्लाइंट प्रमाणीकरण के माध्यम से, जो सीए हस्ताक्षर आवश्यकताओं को बायपास कर सकता है, क्योंकि क्लाइंट प्रमाणपत्रों को आम तौर पर किसी विश्वसनीय सीए द्वारा हस्ताक्षरित करने की आवश्यकता नहीं होती है। चूंकि क्लाइंट प्रमाणीकरण दुर्लभ है और अधिकांश सर्वरों ने इसे सक्षम नहीं किया है, इसलिए सर्वर का दोहन कम जोखिम वाला होना चाहिए।
हमलावरों क्लाइंट को दुर्भावनापूर्ण TLS सर्वर पर निर्देशित करके इस भेद्यता का फायदा उठा सकता है जो भेद्यता को ट्रिगर करने के लिए विशेष रूप से तैयार किए गए प्रमाणपत्र का उपयोग करता है।
हालांकि नई रिलीज़ के लिए पूर्व-रिलीज़ घोषणा में एक महत्वपूर्ण समस्या का उल्लेख किया गया था, वास्तव में, रिलीज़ किए गए अपडेट में, भेद्यता की स्थिति को डाउनग्रेड कर डेंजरस कर दिया गया था, लेकिन क्रिटिकल नहीं।
परियोजना में अपनाए गए नियमों के अनुसार, असामान्य विन्यास में समस्या के मामले में गंभीरता का स्तर कम हो जाता है या व्यवहार में भेद्यता के दोहन की कम संभावना के मामले में। इस मामले में, गंभीरता के स्तर को कम कर दिया गया है, क्योंकि कई प्लेटफार्मों पर उपयोग किए जाने वाले स्टैक ओवरफ्लो सुरक्षा तंत्र द्वारा भेद्यता का शोषण अवरुद्ध है।
CVE-2022-3602 की पिछली घोषणाओं ने इस मुद्दे को CRITICAL के रूप में वर्णित किया। ऊपर उल्लिखित कुछ कम करने वाले कारकों के आधार पर अतिरिक्त विश्लेषण के कारण इसे उच्च स्तर पर डाउनग्रेड किया गया है।
उपयोगकर्ताओं को अभी भी जल्द से जल्द एक नए संस्करण में अपडेट करने के लिए प्रोत्साहित किया जाता है। टीएलएस क्लाइंट पर, इसे किसी दुर्भावनापूर्ण सर्वर से कनेक्ट करके ट्रिगर किया जा सकता है। किसी TLS सर्वर पर, इसे ट्रिगर किया जा सकता है यदि सर्वर क्लाइंट प्रमाणीकरण का अनुरोध करता है और कोई दुर्भावनापूर्ण क्लाइंट कनेक्ट होता है। OpenSSL संस्करण 3.0.0 से 3.0.6 तक इस समस्या के प्रति संवेदनशील हैं। ओपनएसएसएल 3.0 उपयोगकर्ताओं को ओपनएसएसएल 3.0.7 में अपग्रेड करना चाहिए।
पहचानी गई समस्याओं में से निम्नलिखित का उल्लेख किया गया है:
CVE-2022-3602- प्रारंभ में महत्वपूर्ण के रूप में रिपोर्ट किया गया, X.4 प्रमाणपत्र में विशेष रूप से तैयार किए गए ईमेल पता फ़ील्ड को सत्यापित करते समय एक भेद्यता 509-बाइट बफर ओवरफ़्लो का कारण बनती है। टीएलएस क्लाइंट पर, हमलावर द्वारा नियंत्रित सर्वर से कनेक्ट करके भेद्यता का फायदा उठाया जा सकता है. टीएलएस सर्वर पर, यदि प्रमाणपत्रों का उपयोग कर क्लाइंट प्रमाणीकरण का उपयोग किया जाता है, तो भेद्यता का फायदा उठाया जा सकता है। इस मामले में, भेद्यता प्रमाण पत्र से जुड़े ट्रस्ट की श्रृंखला के सत्यापन के बाद चरण में ही प्रकट होती है, यानी हमले के लिए हमलावर के दुर्भावनापूर्ण प्रमाणपत्र को मान्य करने के लिए प्रमाणीकरण प्राधिकरण की आवश्यकता होती है।
CVE-2022-3786: यह समस्या के विश्लेषण के दौरान पहचाने गए भेद्यता CVE-2022-3602 के शोषण का एक और वेक्टर है। अंतर बाइट्स की एक मनमानी संख्या द्वारा स्टैक बफर को ओवरफ्लो करने की संभावना तक उबाल जाता है। युक्त "।" चरित्र। ऐप को क्रैश करने के लिए समस्या का उपयोग किया जा सकता है।
भेद्यताएं केवल OpenSSL 3.0.x शाखा में दिखाई देती हैं, ओपनएसएसएल संस्करण 1.1.1, साथ ही ओपनएसएसएल से प्राप्त लिब्रेएसएसएल और बोरिंगएसएसएल पुस्तकालय, समस्या से प्रभावित नहीं हैं। उसी समय, OpenSSL 1.1.1s के लिए एक अद्यतन जारी किया गया था, जिसमें केवल गैर-सुरक्षा बग फिक्स थे।
OpenSSL 3.0 शाखा का उपयोग Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable जैसे वितरणों द्वारा किया जाता है। इन प्रणालियों के उपयोगकर्ताओं को जल्द से जल्द अद्यतन स्थापित करने की अनुशंसा की जाती है (डेबियन, उबंटू, आरएचईएल, एसयूएसई/ओपनएसयूएसई, फेडोरा, आर्क)।
SUSE लाइनेक्स एंटरप्राइज 15 SP4 और ओपनएसयूएसई लीप 15.4 में, ओपनएसएसएल 3.0 वाले पैकेज एक विकल्प के रूप में उपलब्ध हैं, सिस्टम पैकेज 1.1.1 शाखा का उपयोग करते हैं। डेबियन 11, आर्क लिनक्स, शून्य लिनक्स, उबंटू 20.04, स्लैकवेयर, एएलटी लिनक्स, आरएचईएल 8, ओपनवर्ट, अल्पाइन लिनक्स 3.16, और फ्रीबीएसडी ओपनएसएसएल 1.x शाखाओं में बने हुए हैं।
अंत में यदि आप इसके बारे में अधिक जानने में रुचि रखते हैं, आप में विवरण देख सकते हैं निम्नलिखित लिंक।