{"id":103550,"date":"2022-03-16T15:36:49","date_gmt":"2022-03-16T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov"},"modified":"2022-03-16T15:36:49","modified_gmt":"2022-03-16T13:36:49","slug":"uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit in OpenSSL und LibreSSL f\u00fchrt zu einer Endlosschleife bei der Verarbeitung fehlerhafter Zertifikate.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es sind Korrekturversionen der Kryptobibliothek OpenSSL 3.0.2 und 1.1.1n verf\u00fcgbar. In dem Update wurde die Sicherheitsanf\u00e4lligkeit (CVE-2022-0778) behoben, die f\u00fcr einen Denial-of-Service-Angriff (ewiges Schleifen des Handlers) genutzt werden kann. Um die Schwachstelle auszunutzen, reicht es aus, ein speziell gestaltetes Zertifikat zu verarbeiten. Das Problem tritt sowohl in Server- als auch in Clientanwendungen auf, die von Benutzern \u00fcbermittelte Zertifikate verarbeiten k\u00f6nnen. <\/p>\n
Das Problem wird durch einen Fehler in der Funktion BN_mod_sqrt() verursacht, der zu einer Endlosschleife bei der Berechnung der Quadratwurzel modulo einer Zahl f\u00fchrt, die keine Primzahl ist. Diese Funktion wird beim Parsen von Zertifikaten mit Schl\u00fcsseln auf Basis elliptischer Kurven verwendet. Die Ausnutzung besteht darin, falsche Parameter der elliptischen Kurve in das Zertifikat einzuf\u00fcgen. Da das Problem vor der \u00dcberpr\u00fcfung der digitalen Signatur des Zertifikats auftritt, kann der Angriff von einem nicht authentifizierten Benutzer durchgef\u00fchrt werden, der es schafft, ein Client- oder Serverzertifikat an Anwendungen zu \u00fcbermitteln, die OpenSSL verwenden. <\/p>\n
Die Verwundbarkeit betrifft auch die von OpenBSD entwickelte Bibliothek LibreSSL, f\u00fcr die in den Korrekturversionen LibreSSL 3.3.6, 3.4.3 und 3.5.1 ein Patch vorgeschlagen wurde. Zudem wurde eine Analyse der Bedingungen zur Ausnutzung der Verwundbarkeit ver\u00f6ffentlicht (ein Beispiel eines sch\u00e4dlichen Zertifikats, das zu einem Absturz f\u00fchrt, wird noch nicht \u00f6ffentlich zur Verf\u00fcgung gestellt). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"