Nella libreria crittografica OpenSSL (CVE non è ancora stata assegnata) è stata individuata una vulnerabilità attraverso la quale un utente malintenzionato remoto può danneggiare il contenuto della memoria del processo inviando dati appositamente progettati al momento di stabilire una connessione TLS. Non è ancora chiaro se il problema possa portare all'esecuzione di codice da parte di un utente malintenzionato e alla perdita di dati dalla memoria del processo o se si limiti a un crash.
La vulnerabilità appare nella versione OpenSSL 3.0.4, pubblicata il 21 giugno, ed è causata da una correzione errata di un bug nel codice che potrebbe comportare la sovrascrittura o la lettura di fino a 8192 byte di dati oltre il buffer allocato. Lo sfruttamento della vulnerabilità è possibile solo su sistemi x86_64 con supporto per le istruzioni AVX512.
I fork di OpenSSL come BoringSSL e LibreSSL, così come il ramo OpenSSL 1.1.1, non sono interessati dal problema. La correzione è attualmente disponibile solo come patch. Nello scenario peggiore, il problema potrebbe essere più pericoloso della vulnerabilità Heartbleed, ma il livello di minaccia è ridotto dal fatto che la vulnerabilità appare solo nella versione OpenSSL 3.0.4, mentre molte distribuzioni continuano a fornire la versione 1.1.1. branch per impostazione predefinita o non hai ancora avuto il tempo di creare aggiornamenti del pacchetto con la versione 3.0.4.
Fonte: opennet.ru