ओपनएसएसएल 3.0.4 में भेद्यता के कारण दूरस्थ प्रक्रिया मेमोरी में खराबी आ रही है

ओपनएसएसएल क्रिप्टोग्राफ़िक लाइब्रेरी (सीवीई अभी तक असाइन नहीं किया गया है) में एक भेद्यता की पहचान की गई है, जिसकी मदद से एक दूरस्थ हमलावर टीएलएस कनेक्शन स्थापित करते समय विशेष रूप से डिज़ाइन किए गए डेटा भेजकर प्रक्रिया मेमोरी की सामग्री को नुकसान पहुंचा सकता है। यह अभी तक स्पष्ट नहीं है कि क्या समस्या हमलावर कोड निष्पादन और प्रक्रिया मेमोरी से डेटा रिसाव का कारण बन सकती है, या क्या यह क्रैश तक ही सीमित है।

3.0.4 जून को प्रकाशित ओपनएसएसएल 21 रिलीज में भेद्यता दिखाई देती है, और यह कोड में एक बग के लिए गलत फिक्स के कारण होता है जिसके परिणामस्वरूप 8192 बाइट्स डेटा ओवरराइट हो सकता है या आवंटित बफर से परे पढ़ा जा सकता है। भेद्यता का शोषण केवल AVX86 निर्देशों के समर्थन वाले x64_512 सिस्टम पर संभव है।

ओपनएसएसएल के फोर्क्स जैसे बोरिंगएसएसएल और लिब्रेएसएसएल, साथ ही ओपनएसएसएल 1.1.1 शाखा, समस्या से प्रभावित नहीं हैं। यह फिक्स फिलहाल केवल पैच के रूप में उपलब्ध है। सबसे खराब स्थिति में, समस्या हार्टब्लीड भेद्यता से अधिक खतरनाक हो सकती है, लेकिन खतरे का स्तर इस तथ्य से कम हो जाता है कि भेद्यता केवल ओपनएसएसएल 3.0.4 रिलीज में दिखाई देती है, जबकि कई वितरण 1.1.1 को शिप करना जारी रखते हैं। डिफ़ॉल्ट रूप से शाखा या अभी तक संस्करण 3.0.4 के साथ पैकेज अपडेट बनाने का समय नहीं है।

स्रोत: opennet.ru