V kryptografickej knižnici OpenSSL bola identifikovaná zraniteľnosť (zatiaľ nebolo priradené CVE), pomocou ktorej môže vzdialený útočník poškodiť obsah pamäte procesu odoslaním špeciálne navrhnutých údajov v čase nadviazania TLS spojenia. Zatiaľ nie je jasné, či problém môže viesť k spusteniu kódu útočníka a úniku dát z pamäte procesu, alebo je obmedzený na pád.
Zraniteľnosť sa objavuje vo vydaní OpenSSL 3.0.4, zverejnenom 21. júna, a je spôsobená nesprávnou opravou chyby v kóde, ktorá by mohla spôsobiť prepísanie alebo prečítanie až 8192 86 bajtov údajov za hranicu pridelenej vyrovnávacej pamäte. Využitie tejto zraniteľnosti je možné len na systémoch x64_512 s podporou inštrukcií AVXXNUMX.
Tento problém neovplyvňuje vidlice OpenSSL, ako sú BoringSSL a LibreSSL, ako aj vetvu OpenSSL 1.1.1. Oprava je momentálne dostupná len ako oprava. V najhoršom prípade by problém mohol byť nebezpečnejší ako zraniteľnosť Heartbleed, ale úroveň hrozby je znížená skutočnosťou, že zraniteľnosť sa objavuje iba vo vydaní OpenSSL 3.0.4, zatiaľ čo mnohé distribúcie naďalej dodávajú verziu 1.1.1. vetva štandardne alebo ešte nemali čas na vytvorenie aktualizácií balíkov s verziou 3.0.4.
Zdroj: opennet.ru