{"id":103550,"date":"2022-03-16T15:36:49","date_gmt":"2022-03-16T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov"},"modified":"2022-03-16T15:36:49","modified_gmt":"2022-03-16T13:36:49","slug":"uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","title":{"rendered":"Vulnerabilit\u00e0 in OpenSSL e LibreSSL che porta a un ciclo infinito durante l'elaborazione di certificati non validi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Sono disponibili aggiornamenti correttivi per le librerie crittografiche OpenSSL 3.0.2 e 1.1.1n. Nell'aggiornamento \u00e8 stata corretta una vulnerabilit\u00e0 (CVE-2022-0778) che pu\u00f2 essere sfruttata per causare un attacco Denial of Service (loop infinito del gestore). Per sfruttare la vulnerabilit\u00e0 \u00e8 sufficiente ottenere l'elaborazione di un certificato appositamente formattato. Il problema si manifesta sia nelle applicazioni server che in quelle client, che possono elaborare certificati forniti dagli utenti. <\/p>\n
Il problema \u00e8 causato da un errore nella funzione BN_mod_sqrt(), che porta a un ciclo infinito durante il calcolo della radice quadrata modulo un numero diverso da un primo. La funzione \u00e8 utilizzata nell'analisi dei certificati con chiavi basate su curve ellittiche. Lo sfruttamento si riduce all'inserimento di parametri errati della curva ellittica nel certificato. Poich\u00e9 il problema si manifesta nella fase precedente alla verifica della firma digitale del certificato, l'attacco pu\u00f2 essere effettuato da un utente non autenticato in grado di ottenere l'invio di un certificato client o server alle applicazioni che utilizzano OpenSSL. <\/p>\n
La vulnerabilit\u00e0 interessa anche la libreria LibreSSL sviluppata da OpenBSD, per la quale \u00e8 stata proposta una correzione negli aggiornamenti correttivi di LibreSSL 3.3.6, 3.4.3 e 3.5.1. \u00c8 stato inoltre pubblicato un'analisi delle condizioni per sfruttare la vulnerabilit\u00e0 (un esempio di certificato dannoso che causa il blocco non \u00e8 stato ancora reso pubblico). \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"