ຊ່ອງໂຫວ່ໃນ OpenSSL 3.0.4 ນໍາໄປສູ່ຄວາມເສຍຫາຍຂອງຫນ່ວຍຄວາມຈໍາຂອງຂະບວນການທາງໄກ

ຊ່ອງໂຫວ່ໄດ້ຖືກລະບຸໄວ້ໃນຫ້ອງສະຫມຸດ OpenSSL cryptographic (CVE ຍັງບໍ່ທັນໄດ້ຖືກມອບຫມາຍ), ໂດຍການຊ່ວຍເຫຼືອຂອງການໂຈມຕີທາງໄກສາມາດທໍາລາຍເນື້ອໃນຂອງຫນ່ວຍຄວາມຈໍາຂອງຂະບວນການໂດຍການສົ່ງຂໍ້ມູນທີ່ຖືກອອກແບບພິເສດໃນເວລາທີ່ສ້າງການເຊື່ອມຕໍ່ TLS. ມັນຍັງບໍ່ທັນເປັນທີ່ຈະແຈ້ງເທື່ອວ່າບັນຫາສາມາດນໍາໄປສູ່ການປະຕິບັດລະຫັດຂອງຜູ້ໂຈມຕີແລະການຮົ່ວໄຫລຂອງຂໍ້ມູນຈາກຫນ່ວຍຄວາມຈໍາຂອງຂະບວນການ, ຫຼືວ່າມັນຈໍາກັດພຽງແຕ່ການຂັດຂ້ອງ.

ຊ່ອງໂຫວ່ປາກົດຢູ່ໃນການປ່ອຍ OpenSSL 3.0.4, ຈັດພີມມາໃນວັນທີ 21 ມິຖຸນາ, ແລະເກີດມາຈາກການແກ້ໄຂຂໍ້ຜິດພາດທີ່ບໍ່ຖືກຕ້ອງໃນລະຫັດທີ່ສາມາດສົ່ງຜົນໃຫ້ຂໍ້ມູນເຖິງ 8192 bytes ຖືກຂຽນທັບຫຼືອ່ານເກີນ buffer ທີ່ຖືກຈັດສັນ. ການຂູດຮີດຊ່ອງໂຫວ່ແມ່ນເປັນໄປໄດ້ພຽງແຕ່ໃນລະບົບ x86_64 ທີ່ມີການສະຫນັບສະຫນູນຄໍາແນະນໍາ AVX512.

Forks ຂອງ OpenSSL ເຊັ່ນ BoringSSL ແລະ LibreSSL, ເຊັ່ນດຽວກັນກັບສາຂາ OpenSSL 1.1.1, ບໍ່ໄດ້ຮັບຜົນກະທົບຈາກບັນຫາ. ການ​ແກ້​ໄຂ​ແມ່ນ​ໃນ​ປັດ​ຈຸ​ບັນ​ມີ​ພຽງ​ແຕ່​ເປັນ​ການ​ແກ້​ໄຂ​. ໃນສະຖານະການທີ່ຮ້າຍແຮງທີ່ສຸດ, ບັນຫາອາດຈະເປັນອັນຕະລາຍຫຼາຍກ່ວາຄວາມອ່ອນແອຂອງ Heartbleed, ແຕ່ລະດັບໄພຂົ່ມຂູ່ຈະຫຼຸດລົງຍ້ອນຄວາມຈິງທີ່ວ່າຊ່ອງໂຫວ່ປາກົດຢູ່ໃນການປ່ອຍ OpenSSL 3.0.4 ເທົ່ານັ້ນ, ໃນຂະນະທີ່ການແຈກຢາຍຈໍານວນຫຼາຍຍັງສືບຕໍ່ສົ່ງ 1.1.1. ສາຂາໂດຍຄ່າເລີ່ມຕົ້ນຫຼືຍັງບໍ່ທັນມີເວລາທີ່ຈະສ້າງການອັບເດດຊຸດກັບເວີຊັນ 3.0.4.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru