OpenSSL är ett gratis programvaruprojekt baserat på SSLeay.
Information släpptes om släppa en korrigerande version av kryptobiblioteket OpenSSL 3.0.7, som åtgärdar två sårbarhetersom och varför denna korrigerande version släpptes är av buffertspill som utnyttjas vid validering av X.509-certifikat.
Det är värt att nämna det båda problemen orsakas av ett buffertspill i koden för att validera e-postadressfältet i X.509-certifikat och kan orsaka kodexekvering vid bearbetning av ett specialtillverkat certifikat.
Vid tidpunkten för lanseringen av fixen hade OpenSSL-utvecklarna inte rapporterat förekomsten av en funktionell exploatering som kunde leda till exekvering av angriparens kod.
Det finns ett fall där servrarna kan utnyttjas via TLS-klientautentisering, som kan kringgå CA-signeringskrav, eftersom klientcertifikat i allmänhet inte krävs för att vara signerade av en betrodd CA. Eftersom klientautentisering är sällsynt och de flesta servrar inte har det aktiverat, bör det vara låg risk att utnyttja servern.
Angriparna kan utnyttja denna sårbarhet genom att dirigera klienten till en skadlig TLS-server som använder ett speciellt utformat certifikat för att utlösa sårbarheten.
Även om pre-releasemeddelandet för den nya versionen nämnde ett kritiskt problem, i den släppta uppdateringen, nedgraderades sårbarhetsstatusen till Dangerous, but not Critical.
Enligt de regler som antagits i projektet, svårighetsgraden sänks vid problem i atypiska konfigurationer eller vid låg sannolikhet att utnyttja en sårbarhet i praktiken. I det här fallet har svårighetsgraden sänkts, eftersom exploatering av sårbarheten blockeras av stackoverflow-skyddsmekanismerna som används på många plattformar.
Tidigare tillkännagivanden av CVE-2022-3602 beskrev detta problem som KRITISKT. Ytterligare analys baserad på några av de förmildrande faktorerna ovan har lett till att detta har nedgraderats till HÖG.
Användare uppmanas fortfarande att uppdatera till en ny version så snart som möjligt. På en TLS-klient kan detta utlösas genom att ansluta till en skadlig server. På en TLS-server kan detta utlösas om servern begär klientautentisering och en skadlig klient ansluter. OpenSSL versionerna 3.0.0 till 3.0.6 är sårbara för detta problem. OpenSSL 3.0-användare bör uppgradera till OpenSSL 3.0.7.
av de identifierade problemen följande nämns:
CVE-2022-3602- Ursprungligen rapporterades som kritisk, en sårbarhet orsakar ett 4-byte buffertspill vid verifiering av ett speciellt utformat e-postadressfält i ett X.509-certifikat. På en TLS-klient kan sårbarheten utnyttjas genom att ansluta till en server som kontrolleras av angriparen. På en TLS-server kan sårbarheten utnyttjas om klientautentisering med certifikat används. I det här fallet visar sig sårbarheten i skedet efter verifieringen av den förtroendekedja som är associerad med certifikatet, det vill säga attacken kräver att certifieringsmyndigheten validerar angriparens skadliga certifikat.
CVE-2022-3786: Det är en annan vektor för utnyttjande av sårbarheten CVE-2022-3602 som identifierades under analysen av problemet. Skillnaderna kokar ner till möjligheten att svämma över stackbufferten med ett godtyckligt antal byte. som innehåller tecknet ".". Problemet kan användas för att få en app att krascha.
Sårbarheterna visas endast i OpenSSL 3.0.x-grenen, OpenSSL version 1.1.1, liksom LibreSSL- och BoringSSL-biblioteken härledda från OpenSSL, påverkas inte av problemet. Samtidigt släpptes en uppdatering till OpenSSL 1.1.1s, som endast innehåller buggfixar som inte är säkerhetsrelaterade.
OpenSSL 3.0-grenen används av distributioner som Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. Användare av dessa system rekommenderas att installera uppdateringar så snart som möjligt (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch).
I SUSE Linux Enterprise 15 SP4 och openSUSE Leap 15.4 är paket med OpenSSL 3.0 tillgängliga som tillval, systempaket använder 1.1.1-grenen. Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16 och FreeBSD finns kvar i OpenSSL 1.x-grenarna.
Slutligen om du är intresserad av att veta mer om detkan du kontrollera detaljerna i följande länk.