Der er blevet identificeret en sårbarhed i den kryptografiske bibliotek OpenSSL (CVE endnu ikke tildelt), hvorved en fjernangriber kan beskadige indholdet af processens hukommelse ved at sende specielt udformede data under oprettelse af TLS-forbindelsen. Det er endnu ikke klart, om problemet kan føre til udførelse af angriberens kode og lækage af data fra processens hukommelse, eller om det kun er begrænset til, at programmet går ned.
Sårbarheden fremkommer i OpenSSL 3.0.4, som blev offentliggjort den 21. juni, og er forårsaget af en forkert rettelse af en fejl i koden, som kan medføre, at op til 8192 byte data bliver overskrevet eller læst uden for den tildelte buffer. Udnyttelse af sårbarheden er kun mulig på x86_64-systemer med støtte for AVX512-instruktioner.
Afvigelserne fra OpenSSL, såsom BoringSSL og LibreSSL, såvel som OpenSSL 1.1.1-grenen, er ikke berørt af problemet. En rettelse er i øjeblikket kun tilgængelig som et patch. I værste fald kan problemet vise sig at være mere alvorligt end Heartbleed-sårbarheden, men trusselsniveauet nedsættes af, at sårbarheden kun fremkommer i OpenSSL 3.0.4, mens mange distributioner som standard fortsat leverer 1.1.1-grenen eller endnu ikke har haft tid til at danne opdateringer med version 3.0.4.
Kilde: opennet.ru
