OpenSSL-i krüptoteegis (CVE-d pole veel määratud) on tuvastatud haavatavus, mille abil saab kaugründaja TLS-ühenduse loomise ajal spetsiaalselt selleks ette nähtud andmeid saates kahjustada protsessimälu sisu. Veel pole selge, kas probleem võib viia ründaja koodi täitmise ja andmete lekkimiseni protsessimälust või piirdub see krahhiga.
Haavatavus ilmneb 3.0.4. juunil avaldatud OpenSSL 21 versioonis ja selle põhjuseks on koodi vea vale parandus, mille tulemuseks võib olla kuni 8192 baiti andmete ülekirjutamine või eraldatud puhvri piiridest väljalugemine. Haavatavuse ärakasutamine on võimalik ainult x86_64 süsteemides, mis toetavad AVX512 juhiseid.
See probleem ei puuduta OpenSSL-i kahvleid, nagu BoringSSL ja LibreSSL, ega ka OpenSSL 1.1.1 haru. Parandus on praegu saadaval ainult plaastrina. Halvima stsenaariumi korral võib probleem olla ohtlikum kui Heartbleedi haavatavus, kuid ohu taset vähendab asjaolu, et haavatavus ilmneb ainult OpenSSL 3.0.4 versioonis, samas kui paljud distributsioonid tarnivad jätkuvalt versiooni 1.1.1 haru vaikimisi või pole veel olnud aega paketivärskenduste koostamiseks versiooniga 3.0.4.
Allikas: opennet.ru