X.509 प्रमाणपत्रों का सत्यापन करते समय ओपनएसएसएल में बफर ओवरफ्लो का फायदा उठाया गया

ओपनएसएसएल क्रिप्टोग्राफ़िक लाइब्रेरी 3.0.7 की एक सुधारात्मक रिलीज़ प्रकाशित की गई है, जो दो कमजोरियों को ठीक करती है। दोनों समस्याएं X.509 प्रमाणपत्रों में ईमेल फ़ील्ड सत्यापन कोड में बफर ओवरफ्लो के कारण होती हैं और विशेष रूप से फ़्रेम किए गए प्रमाणपत्र को संसाधित करते समय संभावित रूप से कोड निष्पादन हो सकता है। फिक्स के प्रकाशन के समय, ओपनएसएसएल डेवलपर्स ने किसी कार्यशील शोषण की उपस्थिति का कोई सबूत दर्ज नहीं किया था जो हमलावर के कोड के निष्पादन का कारण बन सकता था।

इस तथ्य के बावजूद कि नई रिलीज़ की पूर्व-रिलीज़ घोषणा में एक गंभीर समस्या की उपस्थिति का उल्लेख किया गया था, वास्तव में, जारी किए गए अपडेट में भेद्यता की स्थिति को खतरनाक के स्तर तक कम कर दिया गया था, लेकिन महत्वपूर्ण भेद्यता के स्तर तक नहीं। परियोजना में अपनाए गए नियमों के अनुसार, यदि समस्या असामान्य विन्यास में प्रकट होती है या व्यवहार में भेद्यता के शोषण की कम संभावना है तो खतरे का स्तर कम हो जाता है।

इस मामले में, गंभीरता का स्तर कम हो गया था क्योंकि कई संगठनों द्वारा भेद्यता के विस्तृत विश्लेषण से यह निष्कर्ष निकला कि शोषण के दौरान कोड निष्पादित करने की क्षमता कई प्लेटफार्मों में उपयोग किए जाने वाले स्टैक ओवरफ़्लो सुरक्षा तंत्र द्वारा अवरुद्ध कर दी गई थी। इसके अलावा, कुछ लिनक्स वितरणों में उपयोग किए जाने वाले ग्रिड लेआउट के परिणामस्वरूप सीमा से बाहर जाने वाले 4 बाइट्स स्टैक पर अगले बफर पर सुपरइम्पोज़ हो जाते हैं, जो अभी तक उपयोग में नहीं है। हालाँकि, यह संभव है कि ऐसे प्लेटफ़ॉर्म हैं जिनका उपयोग कोड निष्पादित करने के लिए किया जा सकता है।

पहचाने गए मुद्दे:

• CVE-2022-3602 - एक भेद्यता, जिसे शुरू में गंभीर के रूप में प्रस्तुत किया गया था, X.4 प्रमाणपत्र में विशेष रूप से डिज़ाइन किए गए ईमेल पते के साथ फ़ील्ड की जांच करते समय 509-बाइट बफर ओवरफ़्लो की ओर जाता है। टीएलएस क्लाइंट में, हमलावर द्वारा नियंत्रित सर्वर से कनेक्ट होने पर भेद्यता का फायदा उठाया जा सकता है। टीएलएस सर्वर पर, यदि प्रमाणपत्रों का उपयोग करके क्लाइंट प्रमाणीकरण का उपयोग किया जाता है, तो भेद्यता का फायदा उठाया जा सकता है। इस मामले में, प्रमाणपत्र से जुड़े विश्वास की श्रृंखला के सत्यापन के बाद चरण में भेद्यता प्रकट होती है, अर्थात। हमले के लिए आवश्यक है कि प्रमाणपत्र प्राधिकारी हमलावर के दुर्भावनापूर्ण प्रमाणपत्र को सत्यापित करे।
• CVE-2022-3786 CVE-2022-3602 भेद्यता का फायदा उठाने के लिए एक और वेक्टर है, जिसे समस्या के विश्लेषण के दौरान पहचाना गया है। अंतर "" वाले बाइट्स की एक मनमानी संख्या द्वारा स्टैक पर बफर को ओवरफ्लो करने की संभावना को कम कर देता है। (यानी हमलावर अतिप्रवाह की सामग्री को नियंत्रित नहीं कर सकता है और समस्या का उपयोग केवल एप्लिकेशन को क्रैश करने के लिए किया जा सकता है)।

कमजोरियाँ केवल OpenSSL 3.0.x शाखा में दिखाई देती हैं (बग को 3.0.x शाखा में जोड़े गए यूनिकोड रूपांतरण कोड (punycode) में पेश किया गया था)। ओपनएसएसएल 1.1.1 की रिलीज़, साथ ही ओपनएसएसएल फोर्क लाइब्रेरीज़ लिबरएसएसएल और बोरिंगएसएसएल, समस्या से प्रभावित नहीं हैं। उसी समय, OpenSSL 1.1.1s अपडेट जारी किया गया, जिसमें केवल गैर-सुरक्षा बग फिक्स शामिल हैं।

OpenSSL 3.0 शाखा का उपयोग Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, ​​​​Debian Testing/Unstable जैसे वितरणों में किया जाता है। इन प्रणालियों के उपयोगकर्ताओं को जल्द से जल्द अपडेट इंस्टॉल करने की सलाह दी जाती है (डेबियन, उबंटू, आरएचईएल, एसयूएसई/ओपनएसयूएसई, फेडोरा, आर्क)। एसयूएसई लिनक्स एंटरप्राइज 15 एसपी4 और ओपनएसयूएसई लीप 15.4 में, ओपनएसएसएल 3.0 वाले पैकेज वैकल्पिक रूप से उपलब्ध हैं, सिस्टम पैकेज 1.1.1 शाखा का उपयोग करते हैं। डेबियन 1, आर्क लिनक्स, वॉयड लिनक्स, उबंटू 11, स्लैकवेयर, एएलटी लिनक्स, आरएचईएल 20.04, ओपनवर्ट, अल्पाइन लिनक्स 8 और फ्रीबीएसडी ओपनएसएसएल 3.16.x शाखाओं पर बने हुए हैं।

स्रोत: opennet.ru