Rilis pemeliharaan perpustakaan kriptografi OpenSSL 3.0.2 dan 1.1.1n telah tersedia. Pembaruan ini memperbaiki kerentanan (CVE-2022-0778) yang dapat digunakan untuk menyebabkan penolakan layanan (perulangan tak terbatas pada pengendali). Untuk mengeksploitasi kerentanan, cukup dengan memproses sertifikat yang dirancang khusus. Masalah ini terjadi pada aplikasi server dan klien yang dapat memproses sertifikat yang disediakan pengguna.
Masalahnya disebabkan oleh bug pada fungsi BN_mod_sqrt(), yang menyebabkan perulangan saat menghitung modulo akar kuadrat selain bilangan prima. Fungsi ini digunakan saat mengurai sertifikat dengan kunci berdasarkan kurva elips. Operasi dilakukan dengan mengganti parameter kurva elips yang salah ke dalam sertifikat. Karena masalah terjadi sebelum tanda tangan digital sertifikat diverifikasi, serangan dapat dilakukan oleh pengguna yang tidak diautentikasi yang dapat menyebabkan sertifikat klien atau server dikirimkan ke aplikasi yang menggunakan OpenSSL.
Kerentanan ini juga mempengaruhi perpustakaan LibreSSL yang dikembangkan oleh proyek OpenBSD, perbaikan yang diusulkan dalam rilis korektif LibreSSL 3.3.6, 3.4.3 dan 3.5.1. Selain itu, analisis mengenai kondisi untuk mengeksploitasi kerentanan telah dipublikasikan (contoh sertifikat berbahaya yang menyebabkan pembekuan belum diposting secara publik).
Sumber: opennet.ru