U OpenSSL kriptografskoj biblioteci otkrivena je ranjivost (CVE još nije dodijeljen), uz pomoć koje udaljeni napadač može oštetiti sadržaj procesne memorije slanjem posebno dizajniranih podataka u trenutku uspostavljanja TLS veze. Još nije jasno da li problem može dovesti do izvršavanja napadačkog koda i curenja podataka iz procesne memorije ili je ograničen na pad.
Ranjivost se pojavljuje u izdanju OpenSSL 3.0.4, objavljenom 21. juna, a uzrokovana je netačnim ispravkom greške u kodu koja bi mogla dovesti do prepisivanja ili čitanja do 8192 bajta podataka izvan dodijeljenog bafera. Iskorištavanje ranjivosti moguće je samo na x86_64 sistemima s podrškom za AVX512 instrukcije.
Forks OpenSSL-a kao što su BoringSSL i LibreSSL, kao i OpenSSL 1.1.1 grana, nisu pogođeni problemom. Ispravka je trenutno dostupna samo kao zakrpa. U najgorem slučaju, problem bi mogao biti opasniji od ranjivosti Heartbleed, ali nivo prijetnje je smanjen činjenicom da se ranjivost pojavljuje samo u izdanju OpenSSL 3.0.4, dok mnoge distribucije i dalje isporučuju 1.1.1 grana prema zadanim postavkama ili još niste imali vremena za pravljenje ažuriranja paketa s verzijom 3.0.4.
izvor: opennet.ru