X.509 ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਵੇਲੇ OpenSSL ਵਿੱਚ ਬਫਰ ਓਵਰਫਲੋ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ

OpenSSL ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਲਾਇਬ੍ਰੇਰੀ 3.0.7 ਦੀ ਇੱਕ ਸੁਧਾਰਾਤਮਕ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਠੀਕ ਕਰਦੀ ਹੈ। ਦੋਵੇਂ ਮੁੱਦੇ X.509 ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚ ਈਮੇਲ ਫੀਲਡ ਪ੍ਰਮਾਣਿਕਤਾ ਕੋਡ ਵਿੱਚ ਬਫਰ ਓਵਰਫਲੋ ਦੇ ਕਾਰਨ ਹਨ ਅਤੇ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਫਰੇਮ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੇ ਹਨ। ਫਿਕਸ ਦੇ ਪ੍ਰਕਾਸ਼ਨ ਦੇ ਸਮੇਂ, OpenSSL ਡਿਵੈਲਪਰਾਂ ਨੇ ਇੱਕ ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਕੋਈ ਸਬੂਤ ਦਰਜ ਨਹੀਂ ਕੀਤਾ ਸੀ ਜਿਸ ਨਾਲ ਹਮਲਾਵਰ ਦੇ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਇਸ ਤੱਥ ਦੇ ਬਾਵਜੂਦ ਕਿ ਨਵੀਂ ਰੀਲੀਜ਼ ਦੀ ਪੂਰਵ-ਰਿਲੀਜ਼ ਘੋਸ਼ਣਾ ਵਿੱਚ ਇੱਕ ਨਾਜ਼ੁਕ ਮੁੱਦੇ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਜ਼ਿਕਰ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਸਲ ਵਿੱਚ, ਜਾਰੀ ਕੀਤੇ ਗਏ ਅਪਡੇਟ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਦੀ ਸਥਿਤੀ ਨੂੰ ਇੱਕ ਖਤਰਨਾਕ, ਪਰ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਦੇ ਪੱਧਰ ਤੱਕ ਘਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਪ੍ਰੋਜੈਕਟ ਵਿੱਚ ਅਪਣਾਏ ਗਏ ਨਿਯਮਾਂ ਦੇ ਅਨੁਸਾਰ, ਖ਼ਤਰੇ ਦੇ ਪੱਧਰ ਨੂੰ ਘਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ ਜੇ ਸਮੱਸਿਆ ਆਪਣੇ ਆਪ ਨੂੰ ਅਟੈਪੀਕਲ ਸੰਰਚਨਾਵਾਂ ਵਿੱਚ ਪ੍ਰਗਟ ਕਰਦੀ ਹੈ ਜਾਂ ਜੇ ਅਭਿਆਸ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਦੇ ਸ਼ੋਸ਼ਣ ਦੀ ਘੱਟ ਸੰਭਾਵਨਾ ਹੁੰਦੀ ਹੈ.

ਇਸ ਕੇਸ ਵਿੱਚ, ਗੰਭੀਰਤਾ ਦੇ ਪੱਧਰ ਨੂੰ ਘਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ ਕਿਉਂਕਿ ਕਈ ਸੰਸਥਾਵਾਂ ਦੁਆਰਾ ਕਮਜ਼ੋਰੀ ਦੇ ਵਿਸਤ੍ਰਿਤ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਸਿੱਟਾ ਕੱਢਿਆ ਹੈ ਕਿ ਸ਼ੋਸ਼ਣ ਦੇ ਦੌਰਾਨ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਸਮਰੱਥਾ ਨੂੰ ਕਈ ਪਲੇਟਫਾਰਮਾਂ ਵਿੱਚ ਵਰਤੇ ਗਏ ਸਟੈਕ ਓਵਰਫਲੋ ਸੁਰੱਖਿਆ ਵਿਧੀ ਦੁਆਰਾ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕੁਝ ਲੀਨਕਸ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ ਵਰਤੇ ਗਏ ਗਰਿੱਡ ਲੇਆਉਟ ਦੇ ਨਤੀਜੇ ਵਜੋਂ 4 ਬਾਈਟਾਂ ਦਾ ਨਤੀਜਾ ਨਿਕਲਦਾ ਹੈ ਜੋ ਸਟੈਕ 'ਤੇ ਅਗਲੇ ਬਫਰ 'ਤੇ ਸੁਪਰਇੰਪੋਜ਼ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜੋ ਅਜੇ ਵਰਤੋਂ ਵਿੱਚ ਨਹੀਂ ਹੈ। ਹਾਲਾਂਕਿ, ਇਹ ਸੰਭਵ ਹੈ ਕਿ ਅਜਿਹੇ ਪਲੇਟਫਾਰਮ ਹਨ ਜੋ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਲਈ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ.

ਪਛਾਣੇ ਗਏ ਮੁੱਦੇ:

• CVE-2022-3602 - ਇੱਕ ਕਮਜ਼ੋਰੀ, ਜੋ ਸ਼ੁਰੂ ਵਿੱਚ ਨਾਜ਼ੁਕ ਵਜੋਂ ਪੇਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਇੱਕ X.4 ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਈਮੇਲ ਪਤੇ ਦੇ ਨਾਲ ਇੱਕ ਖੇਤਰ ਦੀ ਜਾਂਚ ਕਰਨ ਵੇਲੇ ਇੱਕ 509-ਬਾਈਟ ਬਫਰ ਓਵਰਫਲੋ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ। ਇੱਕ TLS ਕਲਾਇੰਟ ਵਿੱਚ, ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਸਰਵਰ ਨਾਲ ਕਨੈਕਟ ਕਰਨ ਵੇਲੇ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਇੱਕ TLS ਸਰਵਰ 'ਤੇ, ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜੇਕਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣੀਕਰਨ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਪ੍ਰਮਾਣ-ਪੱਤਰ ਨਾਲ ਜੁੜੇ ਟਰੱਸਟ ਦੀ ਚੇਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਤੋਂ ਬਾਅਦ ਕਮਜ਼ੋਰੀ ਪੜਾਅ 'ਤੇ ਪ੍ਰਗਟ ਹੁੰਦੀ ਹੈ, ਯਾਨੀ. ਹਮਲੇ ਦੀ ਲੋੜ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਹਮਲਾਵਰ ਦੇ ਖਤਰਨਾਕ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪੁਸ਼ਟੀ ਕਰੇ।
• CVE-2022-3786 CVE-2022-3602 ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਇੱਕ ਹੋਰ ਵੈਕਟਰ ਹੈ, ਜਿਸਦੀ ਪਛਾਣ ਸਮੱਸਿਆ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੌਰਾਨ ਕੀਤੀ ਗਈ ਹੈ। ਅੰਤਰ ਸਟੈਕ 'ਤੇ ਇੱਕ ਬਫਰ ਨੂੰ "." ਵਾਲੇ ਬਾਈਟਾਂ ਦੀ ਇੱਕ ਮਨਮਾਨੀ ਸੰਖਿਆ ਦੁਆਰਾ ਓਵਰਫਲੋ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਤੱਕ ਉਬਾਲਦੇ ਹਨ। (ਅਰਥਾਤ ਹਮਲਾਵਰ ਓਵਰਫਲੋ ਦੀ ਸਮਗਰੀ ਨੂੰ ਨਿਯੰਤਰਿਤ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਸਮੱਸਿਆ ਦੀ ਵਰਤੋਂ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਕਰੈਸ਼ ਕਰਨ ਲਈ ਹੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ)।

ਕਮਜ਼ੋਰੀਆਂ ਸਿਰਫ਼ OpenSSL 3.0.x ਸ਼ਾਖਾ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੀਆਂ ਹਨ (ਬੱਗ ਨੂੰ ਯੂਨੀਕੋਡ ਪਰਿਵਰਤਨ ਕੋਡ (ਪਨੀਕੋਡ) ਵਿੱਚ 3.0.x ਸ਼ਾਖਾ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ)। OpenSSL 1.1.1 ਦੇ ਰੀਲੀਜ਼, ਨਾਲ ਹੀ OpenSSL ਫੋਰਕ ਲਾਇਬ੍ਰੇਰੀਆਂ LibreSSL ਅਤੇ BoringSSL, ਸਮੱਸਿਆ ਨਾਲ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦੇ ਹਨ। ਉਸੇ ਸਮੇਂ, OpenSSL 1.1.1s ਅੱਪਡੇਟ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਵਿੱਚ ਸਿਰਫ਼ ਗੈਰ-ਸੁਰੱਖਿਆ ਬੱਗ ਫਿਕਸ ਹਨ।

OpenSSL 3.0 ਬ੍ਰਾਂਚ ਦੀ ਵਰਤੋਂ ਉਬੰਟੂ 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, ਫੇਡੋਰਾ 36, ਡੇਬੀਅਨ ਟੈਸਟਿੰਗ/ਅਸਥਿਰ ਵਰਗੀਆਂ ਵੰਡਾਂ ਵਿੱਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਹਨਾਂ ਸਿਸਟਮਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਜਿੰਨੀ ਜਲਦੀ ਹੋ ਸਕੇ ਅੱਪਡੇਟ ਸਥਾਪਤ ਕਰਨ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ (ਡੇਬੀਅਨ, ਉਬੰਟੂ, RHEL, SUSE/openSUSE, Fedora, Arch)। SUSE Linux Enterprise 15 SP4 ਅਤੇ openSUSE Leap 15.4 ਵਿੱਚ, OpenSSL 3.0 ਵਾਲੇ ਪੈਕੇਜ ਵਿਕਲਪਿਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਹਨ, ਸਿਸਟਮ ਪੈਕੇਜ 1.1.1 ਸ਼ਾਖਾ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। Debian 1, Arch Linux, Void Linux, Ubuntu 11, Slackware, ALT Linux, RHEL 20.04, OpenWrt, Alpine Linux 8 ਅਤੇ FreeBSD OpenSSL 3.16.x ਸ਼ਾਖਾਵਾਂ 'ਤੇ ਰਹਿੰਦੇ ਹਨ।

ਸਰੋਤ: opennet.ru