Onderhoudsreleases van de OpenSSL cryptografische bibliotheek 3.0.2 en 1.1.1n zijn beschikbaar. De update repareert een kwetsbaarheid (CVE-2022-0778) die kan worden gebruikt om Denial of Service (oneindige looping van de handler) te veroorzaken. Om de kwetsbaarheid te misbruiken, volstaat het om een speciaal ontworpen certificaat te verwerken. Het probleem doet zich voor in zowel server- als clienttoepassingen die door de gebruiker geleverde certificaten kunnen verwerken.
Het probleem wordt veroorzaakt door een bug in de functie BN_mod_sqrt(), die leidt tot een lus bij het berekenen van een vierkantswortel modulo van iets anders dan een priemgetal. De functie wordt gebruikt bij het parseren van certificaten met sleutels op basis van elliptische curven. De werking komt neer op het vervangen van onjuiste elliptische curveparameters in het certificaat. Omdat het probleem zich voordoet voordat de digitale handtekening van het certificaat is geverifieerd, kan de aanval worden uitgevoerd door een niet-geverifieerde gebruiker die ervoor kan zorgen dat een client- of servercertificaat wordt verzonden naar toepassingen die OpenSSL gebruiken.
De kwetsbaarheid treft ook de LibreSSL-bibliotheek ontwikkeld door het OpenBSD-project, waarvoor een oplossing werd voorgesteld in de corrigerende releases van LibreSSL 3.3.6, 3.4.3 en 3.5.1. Daarnaast is er een analyse gepubliceerd van de voorwaarden voor het misbruiken van de kwetsbaarheid (een voorbeeld van een kwaadaardig certificaat dat bevriezing veroorzaakt is nog niet openbaar gepost).
Bron: opennet.ru