{"id":103550,"date":"2022-03-16T15:36:49","date_gmt":"2022-03-16T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov"},"modified":"2022-03-16T15:36:49","modified_gmt":"2022-03-16T13:36:49","slug":"uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","title":{"rendered":"Schwachstelle in OpenSSL und LibreSSL, die zu einer Endlosschleife bei der Verarbeitung fehlerhafter Zertifikate f\u00fchrt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es sind Korrekturversionen der kryptografischen Bibliothek OpenSSL 3.0.2 und 1.1.1n verf\u00fcgbar. Das Update behebt eine Sicherheitsanf\u00e4lligkeit (CVE-2022-0778), die f\u00fcr die Durchf\u00fchrung eines Denial-of-Service-Angriffs (endloses Looping des Handlers) ausgenutzt werden kann. Um die Anf\u00e4lligkeit auszunutzen, reicht es aus, ein speziell gestaltetes Zertifikat zu verarbeiten. Das Problem tritt sowohl in Server- als auch in Clientanwendungen auf, die Benutzerdatenzertifikate verarbeiten k\u00f6nnen. <\/p>\n
Das Problem wird durch einen Fehler in der Funktion BN_mod_sqrt() verursacht, der zu einer Endlosschleife bei der Berechnung der Quadratwurzel modulo einer Zahl f\u00fchrt, die keine Primzahl ist. Die Funktion wird beim Parsen von Zertifikaten mit Schl\u00fcsseln auf Basis elliptischer Kurven angewendet. Der Missbrauch besteht darin, ung\u00fcltige Parameter der elliptischen Kurve in das Zertifikat einzuf\u00fcgen. Da das Problem in der Phase vor der \u00dcberpr\u00fcfung der digitalen Signatur des Zertifikats auftritt, kann der Angriff von einem nicht authentifizierten Benutzer durchgef\u00fchrt werden, der die \u00dcbertragung des Client- oder Serverzertifikats in Anwendungen, die OpenSSL verwenden, erzielen kann. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit betrifft auch die von dem OpenBSD-Projekt entwickelten Bibliothek LibreSSL, f\u00fcr die in den Korrekturversionen LibreSSL 3.3.6, 3.4.3 und 3.5.1 eine L\u00f6sung angeboten wurde. Zus\u00e4tzlich wurde eine Analyse der Bedingungen f\u00fcr den Missbrauch der Sicherheitsanf\u00e4lligkeit ver\u00f6ffentlicht (ein Beispiel f\u00fcr ein sch\u00e4dliches Zertifikat, das einen Absturz verursacht, ist noch nicht \u00f6ffentlich verf\u00fcgbar). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"