OpenSSL é um projeto de software livre baseado em SSLeay.
Foram divulgadas informações sobre o lançamento de uma versão corretiva de a biblioteca de criptografia OpenSSL 3.0.7, que corrige duas vulnerabilidadescomo qual e por que esta versão corretiva foi lançada é por estouro de buffer explorado ao validar certificados X.509.
Cabe mencionar que ambos os problemas são causados por um estouro de buffer no código para validar o campo de endereço de email em certificados X.509 e pode causar a execução de código ao processar um certificado especialmente criado.
No momento do lançamento da correção, os desenvolvedores do OpenSSL não haviam relatado a existência de uma exploração funcional que pudesse levar à execução do código do invasor.
Há um caso em que os servidores podem ser explorados via autenticação de cliente TLS, que pode ignorar os requisitos de assinatura de CA, pois os certificados de cliente geralmente não precisam ser assinados por uma CA confiável. Como a autenticação do cliente é rara e a maioria dos servidores não a habilita, a exploração do servidor deve ser de baixo risco.
Os atacantes poderia explorar esta vulnerabilidade direcionando o cliente para um servidor TLS malicioso que usa um certificado especialmente criado para acionar a vulnerabilidade.
Embora o anúncio de pré-lançamento da nova versão tenha mencionado um problema crítico, na verdade, na atualização lançada, o status da vulnerabilidade foi rebaixado para Perigoso, mas não Crítico.
De acordo com as regras adotadas no projeto, a o nível de gravidade é reduzido em caso de problema em configurações atípicas ou em caso de baixa probabilidade de exploração de uma vulnerabilidade na prática. Nesse caso, o nível de gravidade foi reduzido, pois a exploração da vulnerabilidade é bloqueada pelos mecanismos de proteção contra estouro de pilha usados em muitas plataformas.
Anúncios anteriores do CVE-2022-3602 descreveram esse problema como CRÍTICO. Análises adicionais baseadas em alguns dos fatores atenuantes descritos acima levaram a que isso fosse rebaixado para ALTO.
Os usuários ainda são incentivados a atualizar para uma nova versão o mais rápido possível. Em um cliente TLS, isso pode ser acionado conectando-se a um servidor malicioso. Em um servidor TLS, isso pode ser acionado se o servidor solicitar autenticação de cliente e um cliente mal-intencionado se conectar. As versões 3.0.0 a 3.0.6 do OpenSSL são vulneráveis a esse problema. Os usuários do OpenSSL 3.0 devem atualizar para o OpenSSL 3.0.7.
dos problemas identificados é mencionado o seguinte:
CVE-2022-3602- Inicialmente relatada como crítica, uma vulnerabilidade causa um estouro de buffer de 4 bytes ao verificar um campo de endereço de email especialmente criado em um certificado X.509. Em um cliente TLS, a vulnerabilidade pode ser explorada conectando-se a um servidor controlado pelo invasor. Em um servidor TLS, a vulnerabilidade pode ser explorada se a autenticação do cliente usando certificados for usada. Nesse caso, a vulnerabilidade se manifesta na etapa posterior à verificação da cadeia de confiança associada ao certificado, ou seja, o ataque exige que a autoridade de certificação valide o certificado malicioso do invasor.
CVE-2022-3786: É mais um vetor de exploração da vulnerabilidade CVE-2022-3602 identificada durante a análise do problema. As diferenças se resumem à possibilidade de estourar o buffer da pilha por um número arbitrário de bytes. contendo o caractere ".". O problema pode ser usado para fazer com que um aplicativo falhe.
As vulnerabilidades aparecem apenas na ramificação OpenSSL 3.0.x, As versões 1.1.1 do OpenSSL, assim como as bibliotecas LibreSSL e BoringSSL derivadas do OpenSSL, não são afetadas pelo problema. Ao mesmo tempo, foi lançada uma atualização para o OpenSSL 1.1.1s, contendo apenas correções de bugs não relacionados à segurança.
A ramificação OpenSSL 3.0 é usada por distribuições como Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. Recomenda-se aos usuários desses sistemas que instalem atualizações o mais rápido possível (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch).
No SUSE Linux Enterprise 15 SP4 e no openSUSE Leap 15.4, os pacotes com OpenSSL 3.0 estão disponíveis como opção, os pacotes do sistema usam a ramificação 1.1.1. Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16 e FreeBSD permanecem nas ramificações do OpenSSL 1.x.
Finalmente se você estiver interessado em saber mais sobre isso, você pode verificar os detalhes no link a seguir