Bol korekčný vydanie kryptografickej knižnice OpenSSL 3.0.7, v ktorom boli odstránené dve zraniteľnosti. Oba problémy sú spôsobené pretečením vyrovnávacej pamäte v kóde na kontrolu poľa s emailovou adresou v certifikátoch X.509 a môžu potenciálne viesť k vykonaniu kódu pri spracovaní špeciálne formátovaného certifikátu. V čase zverejnenia opravy neboli medzi vývojármi OpenSSL zaznamenané žiadne prípady funkčného exploit, ktorý by mohol viesť k vykonaniu kódu útočníka.
Napriek tomu, že v predtým zverejnenom oznámení o novom vydaní sa zmienila kritická problém, v skutočnom vydanom aktualizovaní bol stav zraniteľnosti znížený na úroveň nebezpečnej, ale nie kritickej zraniteľnosti. V súlade s prijatými pravidlami v projekte sa zníženie úrovne nebezpečnosti vykonáva v prípade, že sa problém prejavuje v netypických konfiguráciách alebo v prípade nízkej pravdepodobnosti praktického zneužitia zraniteľnosti.
V danom prípade bola úroveň nebezpečnosti znížená, keďže počas podrobnej analýzy zraniteľnosti niekoľkými organizáciami bol dosiahnutý záver, že možnosť vykonania kódu počas zneužitia je blokovaná mechanizmami ochrany pred pretečením zásobníka, ktoré sú uplatňované na mnohých platformách. Okrem toho, aplikovaná na niektorých distribúciách Linux rozloženie vedie k tomu, že vychádzajúce mimo hranice 4 bajty sú umiestnené na nasledujúci ešte nepoužívaný zásobník. Napriek tomu nie je vylúčené, že existujú platformy, na ktorých je možné zneužitie na vykonanie kódu.
Zistené problémy:
- CVE-2022-3602 — zraniteľnosť, pôvodne prezentovaná ako kritická, vedie k 4-bajtovému pretečeniu vyrovnávacej pamäte pri kontrole v certifikáte X.509 poľa so špeciálne formátovanou emailovou adresou. V TLS kliente môže byť zraniteľnosť zneužitá pri pripojení k serveru, ovládanému útočníkom. Na TLS serveri môže byť zraniteľnosť zneužitá v prípade použitia autentifikácie klientov prostredníctvom certifikátov. Pri tom sa zraniteľnosť prejavuje v štádiu po overení s certifikátom súvisiacej dôveryhodnej reťaze, t.j. na útok je potrebné, aby certifikačná autorita podpísala škodlivý certifikát útočníka.
- CVE-2022-3786 — iný vektor vyžitia zraniteľnosti CVE-2022-3602, identifikovaný pri analýze problému. Rozdiely spočívajú v možnosti pretečenia zásobníka na ľubovoľný počet bajtov, obsahujúcich znak „.“ (t.j. útočník nemôže ovplyvniť obsah pretečenia a problém môže byť využitý iba na núdzové ukončenie aplikácie).
Zraniteľnosti sa prejavujú iba v vetve OpenSSL 3.0.x (chyba nastala v kóde na konverziu Unicode (punycode), pridanom do vetvy 3.0.x). Vydania OpenSSL 1.1.1, ako aj od OpenSSL odvodené knižnice LibreSSL a BoringSSL, nie sú touto problémom postihnuté. Zároveň bolo vytvorené aktualizované vydanie OpenSSL 1.1.1s, ktoré obsahuje iba opravy chýb, ktoré sa netýkajú bezpečnosti.
Vetva OpenSSL 3.0 sa používa v takých distribúciách ako Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. Používateľom týchto systémov sa odporúča čo najskôr nainštalovať aktualizácie (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch). V SUSE Linux Enterprise 15 SP4 a openSUSE Leap 15.4 sú balíky s OpenSSL 3.0 voliteľné, systémové balíky používajú vetvu 1.1.1. V odvetviach OpenSSL 1.x zostávajú Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16 a FreeBSD.
Zdroj: opennet.ru
