Elérhetők az OpenSSL kriptográfiai könyvtár 3.0.2 és 1.1.1n karbantartási kiadásai. A frissítés egy biztonsági rést (CVE-2022-0778) javít, amely szolgáltatásmegtagadást (a kezelő végtelen hurkolását) okozhat. A sérülékenység kihasználásához elegendő egy speciálisan kialakított tanúsítvány feldolgozása. A probléma a kiszolgáló- és az ügyfélalkalmazásokban is előfordul, amelyek képesek feldolgozni a felhasználó által biztosított tanúsítványokat.
A problémát a BN_mod_sqrt() függvény hibája okozza, amely ciklushoz vezet a négyzetgyök modulo kiszámításakor, ami nem prímszám. A funkció akkor használatos, amikor a tanúsítványokat elliptikus görbék alapján értelmezi kulcsokkal. A művelet abból áll, hogy helytelen elliptikus görbe paramétereket kell behelyettesíteni a tanúsítványba. Mivel a probléma a tanúsítvány digitális aláírásának ellenőrzése előtt jelentkezik, a támadást nem hitelesített felhasználó is végrehajthatja, aki kliens- vagy kiszolgálótanúsítvány továbbítását okozhatja az OpenSSL-t használó alkalmazásoknak.
A sérülékenység az OpenBSD projekt által fejlesztett LibreSSL könyvtárat is érinti, amelynek javítását a LibreSSL 3.3.6, 3.4.3 és 3.5.1 javító kiadása javasolta. Ezenkívül közzétették a sérülékenység kihasználásának feltételeiről szóló elemzést (a lefagyást okozó rosszindulatú tanúsítvány példáját még nem tették közzé nyilvánosan).
Forrás: opennet.ru