🥇 OpenSSL मध्ये बफर ओव्हरफ्लो, X.509 प्रमाणपत्रांची पडताळणी करताना शोषण

OpenSSL क्रिप्टोग्राफिक लायब्ररी 3.0.7 चे सुधारात्मक प्रकाशन प्रकाशित केले गेले आहे, जे दोन भेद्यता निश्चित करते. X.509 प्रमाणपत्रांमधील ईमेल फील्ड प्रमाणीकरण कोडमधील बफर ओव्हरफ्लोमुळे दोन्ही समस्या उद्भवल्या आहेत आणि विशेष फ्रेम केलेल्या प्रमाणपत्रावर प्रक्रिया करताना संभाव्यतः कोडची अंमलबजावणी होऊ शकते. फिक्सच्या प्रकाशनाच्या वेळी, OpenSSL डेव्हलपर्सनी हल्लेखोराच्या कोडची अंमलबजावणी होऊ शकणाऱ्या कार्यरत शोषणाच्या उपस्थितीचा कोणताही पुरावा नोंदवला नाही.

नवीन रिलीझच्या पूर्व-रिलीझ घोषणेमध्ये गंभीर समस्येच्या उपस्थितीचा उल्लेख आहे हे असूनही, वास्तविकपणे, रिलीझ केलेल्या अपडेटमध्ये असुरक्षिततेची स्थिती धोकादायक पातळीपर्यंत कमी केली गेली होती, परंतु गंभीर असुरक्षा नाही. प्रकल्पात स्वीकारलेल्या नियमांनुसार, जर समस्या स्वतःला अॅटिपिकल कॉन्फिगरेशनमध्ये प्रकट झाली किंवा व्यवहारात असुरक्षिततेचे शोषण होण्याची शक्यता कमी असेल तर धोक्याची पातळी कमी केली जाते.

या प्रकरणात, तीव्रता पातळी कमी केली गेली कारण अनेक संस्थांनी केलेल्या असुरक्षिततेच्या तपशीलवार विश्लेषणाने निष्कर्ष काढला की शोषणादरम्यान कोड कार्यान्वित करण्याची क्षमता अनेक प्लॅटफॉर्ममध्ये वापरल्या जाणार्‍या स्टॅक ओव्हरफ्लो संरक्षण यंत्रणेद्वारे अवरोधित केली गेली होती. याव्यतिरिक्त, काही लिनक्स वितरणांमध्ये वापरल्या जाणार्‍या ग्रिड लेआउटचा परिणाम 4 बाइट्समध्ये होतो जे सीमेच्या बाहेर जातात स्टॅकवरील पुढील बफरवर सुपरइम्पोज केले जातात, जे अद्याप वापरात नाही. तथापि, हे शक्य आहे की असे प्लॅटफॉर्म आहेत ज्यांचा वापर कोड कार्यान्वित करण्यासाठी केला जाऊ शकतो.

ओळखल्या गेलेल्या समस्या:

CVE-2022-3602 - एक असुरक्षा, सुरुवातीला गंभीर म्हणून सादर केली जाते, X.4 प्रमाणपत्रात खास डिझाइन केलेल्या ईमेल पत्त्यासह फील्ड तपासताना 509-बाइट बफर ओव्हरफ्लो होते. TLS क्लायंटमध्ये, आक्रमणकर्त्याद्वारे नियंत्रित सर्व्हरशी कनेक्ट करताना भेद्यतेचा फायदा घेतला जाऊ शकतो. TLS सर्व्हरवर, प्रमाणपत्रे वापरून क्लायंट प्रमाणीकरण वापरल्यास असुरक्षिततेचा फायदा घेतला जाऊ शकतो. या प्रकरणात, प्रमाणपत्राशी संबंधित ट्रस्टच्या साखळीच्या पडताळणीनंतर असुरक्षितता टप्प्यावर दिसून येते, म्हणजे. हल्ल्यासाठी प्रमाणपत्र प्राधिकरणाने आक्रमणकर्त्याचे दुर्भावनापूर्ण प्रमाणपत्र सत्यापित करणे आवश्यक आहे.
CVE-2022-3786 हे CVE-2022-3602 भेद्यतेचे शोषण करण्यासाठी आणखी एक वेक्टर आहे, जे समस्येच्या विश्लेषणादरम्यान ओळखले जाते. "" असलेल्या बाइट्सच्या अनियंत्रित संख्येने स्टॅकवरील बफर ओव्हरफ्लो होण्याच्या शक्यतेपर्यंत फरक उकळतो. (म्हणजे आक्रमणकर्ता ओव्हरफ्लोची सामग्री नियंत्रित करू शकत नाही आणि समस्या केवळ अनुप्रयोग क्रॅश करण्यासाठी वापरली जाऊ शकते).

भेद्यता फक्त OpenSSL 3.0.x शाखेत दिसून येते (बग युनिकोड रूपांतरण कोड (punycode) मध्ये 3.0.x शाखेत जोडला गेला होता). OpenSSL 1.1.1 चे प्रकाशन, तसेच OpenSSL फोर्क लायब्ररी LibreSSL आणि BoringSSL, या समस्येमुळे प्रभावित होत नाहीत. त्याच वेळी, OpenSSL 1.1.1s अपडेट रिलीझ करण्यात आले, ज्यामध्ये फक्त गैर-सुरक्षा दोष निराकरणे आहेत.

OpenSSL 3.0 शाखा Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/unstable सारख्या वितरणांमध्ये वापरली जाते. या प्रणालींच्या वापरकर्त्यांना शक्य तितक्या लवकर अद्यतने स्थापित करण्याची शिफारस केली जाते (डेबियन, उबंटू, RHEL, SUSE/openSUSE, Fedora, Arch). SUSE Linux Enterprise 15 SP4 आणि openSUSE Leap 15.4 मध्ये, OpenSSL 3.0 सह पॅकेजेस वैकल्पिकरित्या उपलब्ध आहेत, सिस्टम पॅकेजेस 1.1.1 शाखा वापरतात. Debian 1, Arch Linux, Void Linux, Ubuntu 11, Slackware, ALT Linux, RHEL 20.04, OpenWrt, Alpine Linux 8 आणि FreeBSD हे OpenSSL 3.16.x शाखांवर राहतील.

स्त्रोत: opennet.ru

X.509 प्रमाणपत्रांची पडताळणी करताना OpenSSL मधील बफर ओव्हरफ्लोचा गैरफायदा घेतला

एक टिप्पणी जोडा Отменить ответ