OpenSSL 3.0.4 માં નબળાઈ દૂરસ્થ પ્રક્રિયા મેમરી ભ્રષ્ટાચાર તરફ દોરી જાય છે

OpenSSL ક્રિપ્ટોગ્રાફિક લાઇબ્રેરીમાં એક નબળાઈ ઓળખવામાં આવી છે (CVE હજુ સુધી અસાઇન કરવામાં આવ્યું નથી), જેની મદદથી દૂરસ્થ હુમલાખોર TLS કનેક્શન સ્થાપિત કરતી વખતે ખાસ ડિઝાઇન કરેલ ડેટા મોકલીને પ્રોસેસ મેમરીની સામગ્રીને નુકસાન પહોંચાડી શકે છે. તે હજુ સુધી સ્પષ્ટ નથી કે શું સમસ્યા હુમલાખોર કોડ એક્ઝેક્યુશન અને પ્રોસેસ મેમરીમાંથી ડેટા લિકેજ તરફ દોરી શકે છે અથવા શું તે ક્રેશ સુધી મર્યાદિત છે.

3.0.4 જૂનના રોજ પ્રકાશિત ઓપનએસએસએલ 21 રીલીઝમાં નબળાઈ દેખાય છે અને તે કોડમાં ભૂલ માટેના ખોટા સુધારાને કારણે થાય છે જેના પરિણામે 8192 બાઈટ સુધીનો ડેટા ઓવરરાઈટ થઈ શકે છે અથવા ફાળવેલ બફરની બહાર વાંચી શકાય છે. નબળાઈનું શોષણ AVX86 સૂચનાઓ માટે સપોર્ટ સાથે x64_512 સિસ્ટમ્સ પર જ શક્ય છે.

OpenSSL ના ફોર્ક્સ જેમ કે BoringSSL અને LibreSSL, તેમજ OpenSSL 1.1.1 શાખા, સમસ્યાથી પ્રભાવિત થતા નથી. ફિક્સ હાલમાં ફક્ત પેચ તરીકે ઉપલબ્ધ છે. સૌથી ખરાબ પરિસ્થિતિમાં, સમસ્યા હાર્ટબ્લીડની નબળાઈ કરતાં વધુ ખતરનાક બની શકે છે, પરંતુ જોખમનું સ્તર એ હકીકત દ્વારા ઘટાડી શકાય છે કે નબળાઈ ફક્ત OpenSSL 3.0.4 રિલીઝમાં જ દેખાય છે, જ્યારે ઘણા વિતરણો 1.1.1 મોકલવાનું ચાલુ રાખે છે. ડિફૉલ્ટ રૂપે શાખા અથવા સંસ્કરણ 3.0.4 સાથે પેકેજ અપડેટ્સ બનાવવા માટે હજુ સુધી સમય નથી.

સોર્સ: opennet.ru