In der kryptografischen Bibliothek OpenSSL wurde eine Sicherheitsanfälligkeit entdeckt (CVE bislang nicht zugewiesen), durch die ein Angreifer aus der Ferne den Speicherinhalt eines Prozesses durch das Senden speziell formatierter Daten während der TLS-Verbindungsherstellung beschädigen kann. Derzeit ist unklar, ob das Problem zur Ausführung von Angreifer-Code und zur Datenlecks aus dem Prozessspeicher führen kann oder ob es lediglich zu einem Absturz führt.
Die Sicherheitsanfälligkeit tritt in der am 21. Juni veröffentlichten Version OpenSSL 3.0.4 auf und ist das Ergebnis einer fehlerhaften Behebung eines Problems im Code, wodurch bis zu 8192 Byte Daten außerhalb des zugewiesenen Puffers überschrieben oder ausgelesen werden können. Die Ausnutzung der Sicherheitsanfälligkeit ist nur auf x86_64-Systemen mit AVX512-Unterstützung möglich.
Abzweigungen von OpenSSL wie BoringSSL und LibreSSL sowie der Branch OpenSSL 1.1.1 sind nicht betroffen. Der Fix ist derzeit nur als Patch verfügbar. Im schlimmsten Fall könnte das Problem gefährlicher sein als die Heartbleed-Sicherheitslücke, jedoch wird das Risiko dadurch gemindert, dass die Schwachstelle nur in der Version OpenSSL 3.0.4 auftritt. Viele Distributionen liefern standardmäßig weiterhin die Version 1.1.1 aus oder haben noch kein Update auf 3.0.4 erstellt.
Quelle: opennet.ru
