’n Kwesbaarheid is in die OpenSSL-kriptografiese biblioteek geïdentifiseer (CVE is nog nie toegeken nie), met behulp waarvan ’n afstandaanvaller die inhoud van prosesgeheue kan beskadig deur spesiaal ontwerpte data te stuur ten tyde van die totstandkoming van ’n TLS-verbinding. Dit is nog nie duidelik of die probleem kan lei tot die uitvoering van aanvallerkode en datalekkasie uit prosesgeheue nie, en of dit beperk is tot 'n ongeluk.
Die kwesbaarheid verskyn in die OpenSSL 3.0.4-vrystelling, gepubliseer op 21 Junie, en word veroorsaak deur 'n verkeerde regstelling vir 'n fout in die kode wat daartoe kan lei dat tot 8192 86 grepe data oorgeskryf word of buite die toegewese buffer gelees word. Uitbuiting van die kwesbaarheid is slegs moontlik op x64_512-stelsels met ondersteuning vir AVXXNUMX-instruksies.
Vurke van OpenSSL soos BoringSSL en LibreSSL, sowel as die OpenSSL 1.1.1-tak, word nie deur die probleem geraak nie. Die oplossing is tans slegs beskikbaar as 'n pleister. In 'n ergste scenario kan die probleem gevaarliker wees as die Heartbleed-kwesbaarheid, maar die bedreigingsvlak word verminder deur die feit dat die kwesbaarheid slegs in die OpenSSL 3.0.4-vrystelling verskyn, terwyl baie verspreidings steeds die 1.1.1 stuur vertak by verstek of het nog nie tyd gehad om pakketopdaterings met weergawe 3.0.4 te bou nie.
Bron: opennet.ru