{"id":105445,"date":"2022-11-02T03:36:49","date_gmt":"2022-11-02T01:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/perepolnenie-bufera-v-openssl-ekspluatiruemoe-pri-proverke-sertifikatov-x-509"},"modified":"2022-11-02T03:36:49","modified_gmt":"2022-11-02T01:36:49","slug":"perepolnenie-bufera-v-openssl-ekspluatiruemoe-pri-proverke-sertifikatov-x-509","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/perepolnenie-bufera-v-openssl-ekspluatiruemoe-pri-proverke-sertifikatov-x-509","title":{"rendered":"Puffer t\u00falt\u00f6lt\u00e9s az OpenSSL-ben, amelyet az X.509 tan\u00fas\u00edtv\u00e1nyok ellen\u0151rz\u00e9sekor haszn\u00e1lnak ki","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Kiad\u00e1sra ker\u00fclt a OpenSSL 3.0.7 kriptogr\u00e1fiai k\u00f6nyvt\u00e1r korrig\u00e1lt kiad\u00e1sa, amelyben k\u00e9t sebezhet\u0151s\u00e9get jav\u00edtottak. Mindk\u00e9t probl\u00e9ma a X.509 tan\u00fas\u00edtv\u00e1nyokban tal\u00e1lhat\u00f3 email-mez\u0151 ellen\u0151rz\u00e9s\u00e9nek k\u00f3dj\u00e1ban fell\u00e9p\u0151 puffert\u00falfoly\u00e1sb\u00f3l ad\u00f3dik, \u00e9s potenci\u00e1lisan lehet\u0151v\u00e9 teheti a k\u00f3d v\u00e9grehajt\u00e1s\u00e1t egy \u00fcgyesen elk\u00e9sz\u00edtett tan\u00fas\u00edtv\u00e1ny feldolgoz\u00e1sa sor\u00e1n. A jav\u00edt\u00e1s k\u00f6zz\u00e9t\u00e9telekor az OpenSSL fejleszt\u0151i nem tapasztaltak olyan m\u0171k\u00f6d\u0151 exploitot, amely lehet\u0151v\u00e9 tenn\u00e9 a t\u00e1mad\u00f3 k\u00f3dj\u00e1nak v\u00e9grehajt\u00e1s\u00e1t. <\/p>\n
B\u00e1r a kiad\u00e1s el\u0151tti bejelent\u00e9sben kritikus probl\u00e9m\u00e1t eml\u00edtettek, a t\u00e9nylegesen kiadott friss\u00edt\u00e9sben a sebezhet\u0151s\u00e9g st\u00e1tusza a vesz\u00e9lyes, de nem kritikus szintre cs\u00f6kkent. A projektben alkalmazott szab\u00e1lyok szerint a kock\u00e1zati szint cs\u00f6kkent\u00e9s\u00e9re akkor ker\u00fcl sor, ha a probl\u00e9ma szokatlan konfigur\u00e1ci\u00f3kban jelentkezik, vagy ha a sebezhet\u0151s\u00e9g gyakorlati kihaszn\u00e1l\u00e1s\u00e1nak val\u00f3sz\u00edn\u0171s\u00e9ge alacsony. <\/p>\n
Ebben az esetben a kock\u00e1zati szint cs\u00f6kkent\u00e9s\u00e9re ker\u00fclt sor, mivel sz\u00e1mos szervezet r\u00e9szletes anal\u00edzise alapj\u00e1n meg\u00e1llap\u00edtotta, hogy a k\u00f3d v\u00e9grehajt\u00e1s\u00e1nak lehet\u0151s\u00e9ge az exploit\u00e1l\u00e1s sor\u00e1n a sok platformon el\u00e9rhet\u0151 v\u00e9delmi mechanizmusokkal blokkolva van. Emellett egyes Linux disztrib\u00faci\u00f3kban alkalmazott h\u00e1l\u00f3zati elrendez\u00e9s miatt a 4 byte-ot meghalad\u00f3 hat\u00e1rok \u00e1tl\u00e9p\u00e9se a veremben k\u00f6vetkez\u0151, m\u00e9g nem haszn\u00e1lt pufferekre vonatkozik. Mindazon\u00e1ltal nem z\u00e1rhat\u00f3 ki, hogy l\u00e9teznek olyan platformok, ahol a k\u00f3d v\u00e9grehajt\u00e1s\u00e1ra alkalmas exploit\u00e1l\u00e1s lehets\u00e9ges. <\/p>\n