تم إصدار تصحيح لمكتبة التشفير OpenSSL 3.0.7، لإصلاح ثغرتين أمنيتين. سبب كلتا المشكلتين هو تجاوز سعة المخزن المؤقت في الشيفرة البرمجية التي تتحقق من حقل عنوان البريد الإلكتروني في شهادات X.509، مما قد يؤدي إلى تنفيذ شيفرة برمجية عند معالجة شهادة مصممة خصيصًا. وقت إصدار التصحيح، لم يرصد مطورو OpenSSL أي ثغرات أمنية عاملة قد تؤدي إلى تنفيذ شيفرة برمجية للمهاجمين.
على الرغم من أن الإعلان السابق عن الإصدار الجديد أشار إلى وجود مشكلة حرجة، إلا أنه في التحديث الصادر، خُفِّضَت حالة الثغرة إلى مستوى خطير، ولكن ليس حرجًا. ووفقًا للقواعد المعتمدة في المشروع، يُخفَّض مستوى الخطورة إذا ظهرت المشكلة في تكوينات غير نمطية، أو إذا كان احتمال استغلال الثغرة عمليًا ضئيلًا.
في هذه الحالة، تم تخفيض مستوى الخطورة لأن تحليلًا مفصلًا للثغرة الأمنية أجرته عدة منظمات خلص إلى أن القدرة على تنفيذ التعليمات البرمجية أثناء الاستغلال يتم حظرها بواسطة آليات الحماية من تجاوز سعة المكدس المستخدمة في العديد من المنصات. علاوة على ذلك، فإن آلية الحماية من تجاوز سعة المكدس المستخدمة في بعض التوزيعات Linux يؤدي تصميم الشبكة إلى تداخل البايتات الأربعة الخارجة عن النطاق مع المخزن المؤقت التالي في المكدس، والذي لم يُستخدم بعد. ومع ذلك، من المحتمل وجود منصات يمكن استغلالها لتنفيذ التعليمات البرمجية.
تم تحديد القضايا:
- CVE-2022-3602 هي ثغرة أمنية، صُنفت مبدئيًا على أنها حرجة، تتسبب في تجاوز سعة المخزن المؤقت بمقدار 4 بايت عند التحقق من صحة حقل عنوان بريد إلكتروني مُصمم خصيصًا في شهادة X.509. في عميل TLS، يمكن استغلال هذه الثغرة عند الاتصال بـ الخادميتحكم المهاجم في هذه الثغرة الأمنية. على خادم TLS، يمكن استغلال هذه الثغرة إذا تم تفعيل مصادقة العميل باستخدام الشهادات. تظهر الثغرة بعد التحقق من سلسلة الثقة المتعلقة بالشهادة، مما يعني أن الهجوم يتطلب من جهة إصدار الشهادات التحقق من صحة شهادة المهاجم الخبيثة.
- CVE-2022-3786 هو ناقل آخر لاستغلال ثغرة CVE-2022-3602، والتي تم تحديدها أثناء تحليل المشكلة. وتتمثل الاختلافات في إمكانية حدوث تجاوز سعة المخزن المؤقت في المكدس بسبب عدد عشوائي من البايتات التي تحتوي على حرف "." (أي أن المهاجم لا يستطيع التحكم في محتويات تجاوز السعة، ولا يمكن استخدام المشكلة إلا للتسبب في إنهاء غير طبيعي للتطبيق).
تظهر الثغرات الأمنية فقط في فرع OpenSSL 3.0.x (ظهر الخلل في شيفرة تحويل Unicode (punycode))، المضافة إلى فرع 3.0.x). إصدارات OpenSSL 1.1.1، بالإضافة إلى مكتبتي LibreSSL وBoringSSL المُشتقتين من OpenSSL، غير متأثرة بالمشكلة. في الوقت نفسه، تم إصدار تحديث OpenSSL 1.1.1s، والذي يتضمن إصلاحات للأخطاء غير المتعلقة بالأمان فقط.
يُستخدم فرع OpenSSL 3.0 في توزيعات مثل Ubuntu 22.04 CentOS Stream 9، RHEL 9، OpenMandriva 4.2، Gentoo، Fedora 36، Debian قيد الاختبار/غير مستقر. يُنصح مستخدمو هذه الأنظمة بتثبيت التحديثات في أقرب وقت ممكن (Debian, Ubuntu(RHEL، SUSE/openSUSE، Fedora، Arch). في SUSE Linux تتوفر حزم Enterprise 15 SP4 و openSUSE Leap 15.4 مع OpenSSL 3.0 بشكل اختياري، بينما تستخدم حزم النظام فرع 1.1.1. وتبقى فروع OpenSSL 1.x كما هي. Debian 11 أبريل، آرتش Linux، فارغ Linux, Ubuntu 20.04 أبريل، سلاكوير، ALT LinuxRHEL 8، OpenWrt، Alpine Linux 3.16 و FreeBSD.
المصدر: opennet.ru
