Objavljeno je korektivno izdanje OpenSSL kriptografske biblioteke 3.0.7, koje popravlja dvije ranjivosti. Oba problema su uzrokovana prekoračenjem bafera u kodu za validaciju polja e-pošte u X.509 certifikatima i potencijalno mogu dovesti do izvršenja koda prilikom obrade posebno uokvirenog certifikata. U vrijeme objavljivanja popravka, programeri OpenSSL-a nisu zabilježili nikakve dokaze o prisutnosti funkcionalnog exploit-a koji bi mogao dovesti do izvršenja napadačevog koda.
Unatoč činjenici da je u najavi novog izdanja prije objavljivanja spomenuto prisustvo kritičnog problema, u stvari, u objavljenom ažuriranju status ranjivosti je smanjen na nivo opasne, ali ne i kritične ranjivosti. U skladu sa pravilima usvojenim u projektu, nivo opasnosti se smanjuje ukoliko se problem manifestuje u atipičnim konfiguracijama ili ako postoji mala verovatnoća da će se ranjivost iskoristiti u praksi.
U ovom slučaju, nivo ozbiljnosti je smanjen jer je detaljna analiza ranjivosti koju je provelo nekoliko organizacija zaključila da je mogućnost izvršavanja koda tokom eksploatacije blokirana mehanizmima zaštite od prelijevanja steka koji se koriste na mnogim platformama. Nadalje, mehanizam zaštite od prelijevanja steka koji se koristi u nekim distribucijama... Linux Raspored mreže uzrokuje da se 4 bajta izvan granica preklapaju sa sljedećim baferom na steku, koji još nije u upotrebi. Međutim, moguće je da postoje platforme gdje bi se ovo moglo iskoristiti za izvršavanje koda.
Utvrđeni problemi:
- CVE-2022-3602 je ranjivost, prvobitno ocijenjena kao kritična, koja uzrokuje prekoračenje bafera od 4 bajta prilikom validacije posebno kreiranog polja adrese e-pošte u X.509 certifikatu. U TLS klijentu, ranjivost se može iskoristiti prilikom povezivanja na server, kojim upravlja napadač. Na TLS serveru, ranjivost se može iskoristiti ako je omogućena autentifikacija klijenta pomoću certifikata. Ranjivost se manifestuje nakon što je provjeren lanac povjerenja povezan s certifikatom, što znači da napad zahtijeva od tijela za certifikaciju da validira zlonamjerni certifikat napadača.
- CVE-2022-3786 je još jedan vektor za iskorišćavanje ranjivosti CVE-2022-3602, identifikovan tokom analize problema. Razlike se svode na mogućnost prepunjavanja bafera na steku proizvoljnim brojem bajtova koji sadrže "." (tj. napadač ne može kontrolirati sadržaj prekoračenja i problem se može iskoristiti samo da izazove pad aplikacije).
Ranjivosti se pojavljuju samo u grani OpenSSL 3.0.x (greška je uvedena u Unicode konverzijski kod (punycode) koji je dodat u granu 3.0.x). Izdanja OpenSSL 1.1.1, kao i OpenSSL fork biblioteke LibreSSL i BoringSSL, nisu pogođena problemom. Istovremeno, objavljeno je ažuriranje OpenSSL 1.1.1s, koje sadrži samo ispravke grešaka koje nisu vezane za sigurnost.
OpenSSL 3.0 grana se koristi u distribucijama kao što su Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testiranje/Nestabilno. Korisnicima ovih sistema se savjetuje da instaliraju ažuriranja što je prije moguće (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch). U SUSE-u. Linux Paketi Enterprise 15 SP4 i openSUSE Leap 15.4 sa OpenSSL 3.0 dostupni su opcionalno, sistemski paketi koriste granu 1.1.1. Grane OpenSSL 1.x ostaju. Debian 11, Luk Linux, Praznina Linux, Ubuntu 20.04. april, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16 i FreeBSD.
izvor: opennet.ru
