È stata identificata una vulnerabilità nella libreria crittografica OpenSSL (CVE non ancora assegnato) che consente a un attaccante remoto di danneggiare il contenuto della memoria di un processo inviando dati appositamente formati durante l'instaurazione di una connessione TLS. Non è ancora chiaro se il problema possa portare all'esecuzione di codice dell'attaccante e alla fuga di dati dalla memoria del processo, o se si limiti solo a un arresto anomalo.
La vulnerabilità si manifesta nella versione OpenSSL 3.0.4, rilasciata il 21 giugno, ed è causata da una correzione errata in codice, che può portare alla sovrascrittura o lettura di fino a 8192 byte di dati al di fuori del buffer allocato. L'esecuzione di questa vulnerabilità è possibile solo su sistemi x86_64 con supporto per le istruzioni AVX512.
Rami di OpenSSL come BoringSSL e LibreSSL, così come il ramo OpenSSL 1.1.1, non sono affetti dal problema. La correzione è attualmente disponibile solo come patch. Nello scenario peggiore, il problema potrebbe rivelarsi più pericoloso della vulnerabilità Heartbleed, ma il livello della minaccia è mitigato dal fatto che la vulnerabilità si manifesta solo nella versione OpenSSL 3.0.4, mentre molte distribuzioni continuano a fornire per default il ramo 1.1.1 o non hanno ancora rilasciato aggiornamenti dei pacchetti per la versione 3.0.4.
Fonte: opennet.ru
