Instandhoudingsvrystellings van die OpenSSL-kriptografiese biblioteek 3.0.2 en 1.1.1n is beskikbaar. Die opdatering herstel 'n kwesbaarheid (CVE-2022-0778) wat gebruik kan word om diensweiering te veroorsaak (oneindige lus van die hanteerder). Om die kwesbaarheid te ontgin, is dit genoeg om 'n spesiaal ontwerpte sertifikaat te verwerk. Die probleem kom voor in beide bediener- en kliënttoepassings wat gebruikerverskafde sertifikate kan verwerk.
Die probleem word veroorsaak deur 'n fout in die BN_mod_sqrt() funksie, wat lei tot 'n lus wanneer 'n vierkantswortel modulo iets anders as 'n priemgetal bereken word. Die funksie word gebruik wanneer sertifikate ontleed word met sleutels gebaseer op elliptiese kurwes. Werking kom daarop neer om verkeerde elliptiese krommeparameters in die sertifikaat te vervang. Omdat die probleem voorkom voordat die sertifikaat se digitale handtekening geverifieer is, kan die aanval uitgevoer word deur 'n ongeverifieerde gebruiker wat kan veroorsaak dat 'n kliënt- of bedienersertifikaat na toepassings oorgedra word wat OpenSSL gebruik.
Die kwesbaarheid raak ook die LibreSSL-biblioteek wat deur die OpenBSD-projek ontwikkel is, 'n oplossing waarvoor voorgestel is in die regstellende vrystellings van LibreSSL 3.3.6, 3.4.3 en 3.5.1. Daarbenewens is 'n ontleding van die voorwaardes vir die ontginning van die kwesbaarheid gepubliseer ('n voorbeeld van 'n kwaadwillige sertifikaat wat bevriesing veroorsaak, is nog nie in die openbaar geplaas nie).
Bron: opennet.ru