{"id":103550,"date":"2022-03-16T15:36:49","date_gmt":"2022-03-16T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov"},"modified":"2022-03-16T15:36:49","modified_gmt":"2022-03-16T13:36:49","slug":"uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-openssl-i-libressl-privodyashhaya-k-zacziklivaniyu-pri-obrabotke-nekorrektnyh-sertifikatov","title":{"rendered":"Luka w OpenSSL i LibreSSL, kt\u00f3ra prowadzi do zablokowania przy przetwarzaniu niepoprawnych certyfikat\u00f3w.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dost\u0119pne s\u0105 poprawki dla biblioteki kryptograficznej OpenSSL 3.0.2 i 1.1.1n. W aktualizacji usuni\u0119to luk\u0119 (CVE-2022-0778), kt\u00f3ra mo\u017ce by\u0107 wykorzystana do przeprowadzenia ataku typu DoS (niesko\u0144czone zap\u0119tlenie obs\u0142ugi). Aby wykorzysta\u0107 luk\u0119, wystarczy dostarczy\u0107 specjalnie przygotowany certyfikat. Problem wyst\u0119puje zar\u00f3wno w aplikacjach serwerowych, jak i klienckich, kt\u00f3re mog\u0105 obs\u0142ugiwa\u0107 certyfikaty przekazywane przez u\u017cytkownik\u00f3w. <\/p>\n
Problem jest spowodowany b\u0142\u0119dem w funkcji BN_mod_sqrt(), co prowadzi do zap\u0119tlenia podczas obliczania pierwiastka kwadratowego z modulo innego ni\u017c liczba pierwsza. Funkcja ta jest stosowana podczas analizy certyfikat\u00f3w z kluczami opartymi na krzywych eliptycznych. Eksploatacja polega na wprowadzeniu niew\u0142a\u015bciwych parametr\u00f3w krzywej eliptycznej do certyfikatu. Poniewa\u017c problem wyst\u0119puje na etapie przed weryfikacj\u0105 podpisu cyfrowego certyfikatu, atak mo\u017ce zosta\u0107 przeprowadzony przez nieautoryzowanego u\u017cytkownika, kt\u00f3ry zdo\u0142a przekaza\u0107 certyfikat kliencki lub serwerowy do aplikacji u\u017cywaj\u0105cych OpenSSL. <\/p>\n
Luka ta dotyczy r\u00f3wnie\u017c rozwijanej przez projekt OpenBSD biblioteki LibreSSL, dla kt\u00f3rej poprawki zosta\u0142y zaproponowane w wersjach 3.3.6, 3.4.3 i 3.5.1. Dodatkowo opublikowano analiz\u0119 warunk\u00f3w do przeprowadzenia eksploatacji luki (przyk\u0142ad z\u0142o\u015bliwego certyfikatu, kt\u00f3ry powoduje zawieszenie, jeszcze nie zosta\u0142 upubliczniony). \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"