Foi lançado um patch corretivo para a biblioteca criptográfica OpenSSL 3.0.7, que corrige duas vulnerabilidades. Ambos os problemas são causados por um estouro de buffer no código que verifica o campo de email em certificados X.509 e podem potencialmente levar à execução de código ao processar um certificado malicioso. No momento da publicação da correção, os desenvolvedores do OpenSSL não tinham registrado casos de exploração ativa que pudessem resultar na execução de código malicioso.
Embora o anúncio prévio da nova versão mencionasse a presença de um problema crítico, na verdade, no update lançado, o status da vulnerabilidade foi reduzido para perigoso, mas não crítico. De acordo com as regras estabelecidas no projeto, a redução do nível de risco é feita quando a vulnerabilidade se manifesta em configurações não típicas ou em caso de baixa probabilidade real de exploração.
No caso em questão, o nível de risco foi diminuído, pois, após uma análise detalhada da vulnerabilidade por várias organizações, foi concluído que a possibilidade de execução de código durante a exploração é bloqueada pelos mecanismos de proteção contra estouro de pilha usados em muitas plataformas. Além disso, a disposição em algumas distribuições do Linux faz com que saídas além de 4 bytes afetem o buffer seguinte na pilha que ainda não está em uso. No entanto, não se pode descartar a existência de plataformas em que a exploração para execução de código seja possível.
Problemas identificados:
- CVE-2022-3602 — uma vulnerabilidade inicialmente apresentada como crítica, resulta em um estouro de buffer de 4 bytes ao verificar o campo de email malicioso em um certificado X.509. No cliente TLS, a vulnerabilidade pode ser explorada ao se conectar a servidor, controlado pelo atacante. No servidor TLS, a vulnerabilidade pode ser explorada se a autenticação de clientes for feita por meio de certificados. Nesse caso, a vulnerabilidade se manifesta após a verificação da cadeia de confiança associada ao certificado, ou seja, para o ataque ser bem-sucedido, é necessário que a autoridade certificadora valide o certificado malicioso do invasor.
- CVE-2022-3786 — uma nova vetor de exploração da vulnerabilidade CVE-2022-3602, identificada durante a análise do problema. As diferenças se resumem à possibilidade de estouro de buffer na pilha com um número arbitrário de bytes contendo o caractere „.“ (ou seja, o atacante não pode controlar o conteúdo do estouro e o problema só pode ser utilizado para causar o encerramento inesperado da aplicação).
As vulnerabilidades se manifestam apenas na ramificação OpenSSL 3.0.x (o erro surgiu no código de conversão Unicode (punycode), adicionado na ramificação 3.0.x). As versões OpenSSL 1.1.1, bem como as bibliotecas LibreSSL e BoringSSL ramificadas do OpenSSL, não são afetadas pelo problema. Simultaneamente, uma atualização do OpenSSL 1.1.1s foi lançada, que contém apenas correções de bugs não relacionadas à segurança.
A ramificação OpenSSL 3.0 é utilizada em distribuições como Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. Os usuários desses sistemas são recomendados a instalar as atualizações o mais rápido possível (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch). Nos sistemas SUSE Linux Enterprise 15 SP4 e openSUSE Leap 15.4, os pacotes com OpenSSL 3.0 estão disponíveis opcionalmente, enquanto os pacotes de sistema utilizam a ramificação 1.1.1. Permanecem na ramificação OpenSSL 1.x Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16 e FreeBSD.
Fonte: opennet.ru
