Elérhetők a javítókiadások az OpenSSL 3.0.2 és 1.1.1n kriptográfiai könyvtárhoz. A frissítés orvosolja a (CVE-2022-0778) sebezhetőséget, amelyet a szolgáltatásmegtagadás előidézésére lehet használni (a kezelő végtelen ciklusban ragadhat). A sebezhetőség kihasználásához elegendő egy speciálisan elkészített tanúsítvány feldolgoztatása. A probléma megjelenik a szerver és a kliens alkalmazásokban, amelyek képesek a felhasználó által megadott tanúsítványok feldolgozására.
A probléma a BN_mod_sqrt() függvény hibájából ered, amely végtelen ciklushoz vezet, ha nem prím számú modulusra számít a négyzet gyököt. Ezt a függvényt használják a, elliptikus görbe alapú kulcsokkal rendelkező tanúsítványok elemzésekor. A kihasználásra az elliptikus görbe hibás paramétereinek alkalmazása a tanúsítványban van szükség. Mivel a probléma a digitális aláírás ellenőrzése előtt jelentkezik, a támadást nem hitelesített felhasználók is végrehajthatják, akik elérhetik a kliens vagy a szerver tanúsítványok küldését az OpenSSL-t használó alkalmazásokba.
A sebezhetőség érinti a LibreSSL könyvtárat is, amelyet az OpenBSD projekt fejleszt. A javítást a LibreSSL 3.3.6, 3.4.3 és 3.5.1 javítókiadásaiban javasolták. Továbbá közzétették a sebezhetőség kihasználásának körülményeit (a nyilvánosan még nem közzétett példát a hibás tanúsítványra, amely felfüggesztést okoz).
Forrás: opennet.ru
