Kiadásra került a OpenSSL 3.0.7 kriptográfiai könyvtár korrigált kiadása, amelyben két sebezhetőséget javítottak. Mindkét probléma a X.509 tanúsítványokban található email-mező ellenőrzésének kódjában fellépő puffertúlfolyásból adódik, és potenciálisan lehetővé teheti a kód végrehajtását egy ügyesen elkészített tanúsítvány feldolgozása során. A javítás közzétételekor az OpenSSL fejlesztői nem tapasztaltak olyan működő exploitot, amely lehetővé tenné a támadó kódjának végrehajtását.
Bár a kiadás előtti bejelentésben kritikus problémát említettek, a ténylegesen kiadott frissítésben a sebezhetőség státusza a veszélyes, de nem kritikus szintre csökkent. A projektben alkalmazott szabályok szerint a kockázati szint csökkentésére akkor kerül sor, ha a probléma szokatlan konfigurációkban jelentkezik, vagy ha a sebezhetőség gyakorlati kihasználásának valószínűsége alacsony.
Ebben az esetben a kockázati szint csökkentésére került sor, mivel számos szervezet részletes analízise alapján megállapította, hogy a kód végrehajtásának lehetősége az exploitálás során a sok platformon elérhető védelmi mechanizmusokkal blokkolva van. Emellett egyes Linux disztribúciókban alkalmazott hálózati elrendezés miatt a 4 byte-ot meghaladó határok átlépése a veremben következő, még nem használt pufferekre vonatkozik. Mindazonáltal nem zárható ki, hogy léteznek olyan platformok, ahol a kód végrehajtására alkalmas exploitálás lehetséges.
Az azonosított problémák:
- CVE-2022-3602 — a sebezhetőség, amelyet eredetileg kritikusnak minősítettek, 4 bájtos puffertúlfolyásra vezet, amikor az X.509 tanúsítványban egy speciálisan elkészített email-cím ellenőrzése történik. A TLS-kliensnél a sebezhetőség kihasználható, ha csatlakozik egy, a támadó által irányított szerverhez, kontrollált szerverhez. A TLS-szerveren a sebezhetőség kihasználható, ha a tanúsítványokkal történő kliens-azonosítást alkalmazzák. A sebezhetőség a tanúsítvánnyal kapcsolatos bizalmi lánc ellenőrzése után lép fel, tehát a támadáshoz szükséges, hogy az igazoló hatóság hitelesítse a támadó által létrehozott rosszindulatú tanúsítványt.
- CVE-2022-3786 — egy másik kihasználási vektor a CVE-2022-3602 sebezhetőséghez, amely a probléma elemzése során került napvilágra. A különbségek abban állnak, hogy a verem egy tetszőleges számú bájtjának túltöltésére van lehetőség, amely a «.» karaktert tartalmazza (vagyis a támadó nem tudja irányítani a túltöltés tartalmát, és a probléma csak az alkalmazás leállítására használható fel).
A sebezhetőségek csak az OpenSSL 3.0.x ágon jelentkeznek (a hiba a Unicode (punycode) lefordításában jelentkezett, ami az 3.0.x ágba került). Az OpenSSL 1.1.1 kiadások, valamint az OpenSSL-ből származó LibreSSL és BoringSSL könyvtárak nem érintettek. Ezzel egyidejűleg megjelent az OpenSSL 1.1.1s frissítés is, amely csak nem biztonsági hibajavításokat tartalmaz.
Az OpenSSL 3.0 ágat olyan disztribúciók használják, mint az Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. A fenti rendszerek felhasználóinak ajánlott minél előbb telepíteni a frissítéseket (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch). A SUSE Linux Enterprise 15 SP4 és az openSUSE Leap 15.4 esetében az OpenSSL 3.0 csomagok opcionálisan érhetők el, a rendszerszintű csomagok az 1.1.1 ágat használják. Az OpenSSL 1.x ágon marad a Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16 és FreeBSD.
Forrás: opennet.ru
