In de cryptografische bibliotheek OpenSSL is een kwetsbaarheid geĆÆdentificeerd (CVE nog niet toegewezen), waarmee een externe aanvaller de inhoud van het procesgeheugen kan beschadigen door speciaal opgemaakte gegevens te verzenden tijdens het tot stand brengen van een TLS-verbinding. Het is nog onduidelijk of het probleem kan leiden tot de uitvoering van aanvallerscode en datalekken uit het procesgeheugen of dat het beperkt blijft tot een onverwachte beĆ«indiging.
De kwetsbaarheid doet zich voor in de release van OpenSSL 3.0.4, die op 21 juni is gepubliceerd, en is het gevolg van een onjuiste fix van een fout in de code, waardoor tot 8192 bytes aan gegevens buiten de toegewezen buffer kunnen worden overschreven of gelezen. Misbruik van de kwetsbaarheid is alleen mogelijk op x86_64-systemen die AVX512-instructies ondersteunen.
Afgeleiden versies van OpenSSL, zoals BoringSSL en LibreSSL, evenals de tak OpenSSL 1.1.1, zijn niet kwetsbaar voor dit probleem. Een fix is vooralsnog alleen beschikbaar in de vorm van een patch. In het slechtste scenario kan het probleem gevaarlijker blijken te zijn dan de Heartbleed-kwetsbaarheid, maar het dreigingsniveau wordt verlaagd doordat de kwetsbaarheid alleen voorkomt in de release van OpenSSL 3.0.4, terwijl veel distributies standaard de tak 1.1.1 blijven leveren of nog niet in staat zijn geweest updates voor pakketten met versie 3.0.4 te maken.
Bron: opennet.ru
