ភាពងាយរងគ្រោះនៅក្នុង OpenSSL និង LibreSSL ដែលនាំឱ្យមានរង្វិលជុំនៅពេលដំណើរការវិញ្ញាបនបត្រមិនត្រឹមត្រូវ

ការចេញផ្សាយការថែទាំនៃបណ្ណាល័យគ្រីប OpenSSL 3.0.2 និង 1.1.1n មាន។ ការអាប់ដេតជួសជុលភាពងាយរងគ្រោះ (CVE-2022-0778) ដែលអាចត្រូវបានប្រើដើម្បីបណ្តាលឱ្យមានការបដិសេធសេវាកម្ម (រង្វិលជុំគ្មានកំណត់នៃអ្នកដោះស្រាយ)។ ដើម្បីទាញយកភាពងាយរងគ្រោះ វាគ្រប់គ្រាន់ដើម្បីដំណើរការវិញ្ញាបនបត្រដែលបានរចនាជាពិសេស។ បញ្ហាកើតឡើងនៅក្នុងកម្មវិធីទាំងម៉ាស៊ីនមេ និងម៉ាស៊ីនភ្ញៀវ ដែលអាចដំណើរការវិញ្ញាបនបត្រដែលផ្គត់ផ្គង់ដោយអ្នកប្រើប្រាស់។

បញ្ហាគឺបណ្តាលមកពីកំហុសនៅក្នុងអនុគមន៍ BN_mod_sqrt() ដែលនាំទៅដល់រង្វិលជុំនៅពេលគណនាម៉ូឌុលឫសការ៉េអ្វីផ្សេងក្រៅពីលេខបឋម។ មុខងារនេះត្រូវបានប្រើនៅពេលញែកវិញ្ញាបនបត្រដោយប្រើគ្រាប់ចុចដោយផ្អែកលើខ្សែកោងរាងអេលីប ប្រតិបត្តិការចុះមកដើម្បីជំនួសប៉ារ៉ាម៉ែត្រខ្សែកោងរាងអេលីបមិនត្រឹមត្រូវទៅក្នុងវិញ្ញាបនបត្រ។ ដោយសារតែបញ្ហាកើតឡើងមុនពេលការផ្ទៀងផ្ទាត់ហត្ថលេខាឌីជីថលរបស់វិញ្ញាបនបត្រ ការវាយប្រហារអាចត្រូវបានអនុវត្តដោយអ្នកប្រើប្រាស់ដែលមិនមានការផ្ទៀងផ្ទាត់ដែលអាចបណ្តាលឱ្យអតិថិជន ឬវិញ្ញាបនបត្រម៉ាស៊ីនមេត្រូវបានបញ្ជូនទៅកម្មវិធីដោយប្រើ OpenSSL ។

ភាពងាយរងគ្រោះក៏ប៉ះពាល់ដល់បណ្ណាល័យ LibreSSL ដែលត្រូវបានបង្កើតឡើងដោយគម្រោង OpenBSD ដែលជាការជួសជុលដែលត្រូវបានស្នើឡើងនៅក្នុងការចេញផ្សាយការកែតម្រូវនៃ LibreSSL 3.3.6, 3.4.3 និង 3.5.1។ លើសពីនេះទៀត ការវិភាគលើលក្ខខណ្ឌសម្រាប់ការទាញយកភាពងាយរងគ្រោះត្រូវបានបោះពុម្ពផ្សាយ (ឧទាហរណ៍នៃវិញ្ញាបនបត្រព្យាបាទដែលបណ្តាលឱ្យត្រជាក់មិនទាន់ត្រូវបានបង្ហោះជាសាធារណៈនៅឡើយទេ)។

ប្រភព: opennet.ru