Sono disponibili versioni di manutenzione della libreria crittografica OpenSSL 3.0.2 e 1.1.1n. L'aggiornamento risolve una vulnerabilità (CVE-2022-0778) che può essere utilizzata per causare un rifiuto di servizio (loop infinito del gestore). Per sfruttare la vulnerabilità è sufficiente elaborare un certificato appositamente progettato. Il problema si verifica sia nelle applicazioni server che in quelle client che possono elaborare i certificati forniti dall'utente.
Il problema è causato da un bug nella funzione BN_mod_sqrt(), che porta a un loop quando si calcola una radice quadrata modulo qualcosa di diverso da un numero primo. La funzione viene utilizzata durante l'analisi di certificati con chiavi basate su curve ellittiche. L'operazione si riduce alla sostituzione dei parametri della curva ellittica errati nel certificato. Poiché il problema si verifica prima che la firma digitale del certificato venga verificata, l'attacco potrebbe essere effettuato da un utente non autenticato che potrebbe causare la trasmissione di un certificato client o server alle applicazioni che utilizzano OpenSSL.
La vulnerabilità colpisce anche la libreria LibreSSL sviluppata dal progetto OpenBSD, la cui correzione è stata proposta nelle versioni correttive di LibreSSL 3.3.6, 3.4.3 e 3.5.1. Inoltre è stata pubblicata un'analisi delle condizioni per sfruttare la vulnerabilità (un esempio di certificato dannoso che provoca il congelamento non è stato ancora pubblicato pubblicamente).
Fonte: opennet.ru