{"id":103550,"date":"2022-03-16T15:36:49","date_gmt":"2022-03-16T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov"},"modified":"2022-03-16T15:36:49","modified_gmt":"2022-03-16T13:36:49","slug":"uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","title":{"rendered":"S\u00e5rbarhed i OpenSSL og LibreSSL, der f\u00f8rer til en uendelig l\u00f8kke ved behandling af ugyldige certifikater","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Der er udgivet opdateringer til kryptografibibliotekerne OpenSSL 3.0.2 og 1.1.1n. I opdateringen er der rettet en s\u00e5rbarhed (CVE-2022-0778), som kan bruges til at udf\u00f8re denial-of-service-angreb (uendelig looping af h\u00e5ndtereren). For at udnytte s\u00e5rbarheden er det tilstr\u00e6kkeligt at f\u00e5 behandlet et specielt formateret certifikat. Problemet forekommer b\u00e5de i server- og klientapplikationer, der kan behandle brugeroverf\u00f8rte certifikater. <\/p>\n
Problemet skyldes en fejl i funktionen BN_mod_sqrt(), der medf\u00f8rer looping ved beregning af kvadratroden modulo et tal, der ikke er et primtal. Funktionen anvendes ved fortolkning af certifikater med n\u00f8gler baseret p\u00e5 elliptiske kurver. Udnyttelse kan ske ved at inds\u00e6tte forkerte parametre for den elliptiske kurve i certifikatet. Da problemet opst\u00e5r f\u00f8r verificeringen af certifikatets digitale underskrift, kan et ikke-autentificeret bruger gennemf\u00f8re et angreb ved at sikre overf\u00f8rsel af et klient- eller servercertifikat til applikationer, der bruger OpenSSL. <\/p>\n
S\u00e5rbarheden p\u00e5virker ogs\u00e5 biblioteket LibreSSL, som udvikles af OpenBSD-projektet, og der er udgivet rettelser i opdateringerne til LibreSSL 3.3.6, 3.4.3 og 3.5.1. Derudover er der offentliggjort en analyse af betingelserne for udnyttelse af s\u00e5rbarheden (et eksempel p\u00e5 skadelig certifikat, der for\u00e5rsager h\u00e6ngning, er endnu ikke blevet offentliggjort). \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"