اوپن ایس ایس ایل کرپٹوگرافک لائبریری 3.0.7 کی ایک اصلاحی ریلیز شائع کی گئی ہے، جو دو کمزوریوں کو دور کرتی ہے۔ دونوں مسائل X.509 سرٹیفکیٹس میں ای میل فیلڈ کی توثیق کوڈ میں بفر اوور فلو کی وجہ سے ہیں اور خاص طور پر فریم شدہ سرٹیفکیٹ پر کارروائی کرتے وقت ممکنہ طور پر کوڈ پر عمل درآمد کا باعث بن سکتے ہیں۔ فکس کی اشاعت کے وقت، OpenSSL ڈویلپرز نے کام کرنے والے استحصال کی موجودگی کا کوئی ثبوت درج نہیں کیا تھا جو حملہ آور کے کوڈ پر عمل درآمد کا باعث بن سکتا تھا۔
اس حقیقت کے باوجود کہ نئی ریلیز کے پہلے سے جاری اعلان میں ایک اہم مسئلے کی موجودگی کا ذکر کیا گیا تھا، درحقیقت، جاری کردہ اپ ڈیٹ میں خطرے کی حیثیت کو خطرناک حد تک کم کر دیا گیا تھا، لیکن نازک خطرے کی نہیں۔ منصوبے میں اپنائے گئے اصولوں کے مطابق، خطرے کی سطح کو کم کیا جاتا ہے اگر مسئلہ خود کو غیر معمولی ترتیب میں ظاہر کرتا ہے یا اگر عملی طور پر کمزوری کے استحصال کا امکان کم ہے۔
اس معاملے میں، شدت کی سطح کو کم کر دیا گیا تھا کیونکہ متعدد تنظیموں کے ذریعے کمزوری کے تفصیلی تجزیے سے یہ نتیجہ اخذ کیا گیا تھا کہ استحصال کے دوران کوڈ پر عمل درآمد کرنے کی صلاحیت کو بہت سے پلیٹ فارمز میں استعمال ہونے والے اسٹیک اوور فلو پروٹیکشن میکانزم کے ذریعے روک دیا گیا ہے۔ مزید برآں، کچھ تقسیموں میں استعمال ہونے والا اسٹیک اوور فلو پروٹیکشن میکانزم Linux گرڈ لے آؤٹ اسٹیک پر اگلے بفر کو اوورلیپ کرنے کے لیے حد سے باہر 4 بائٹس کا سبب بنتا ہے، جو ابھی تک استعمال میں نہیں ہے۔ تاہم، یہ ممکن ہے کہ ایسے پلیٹ فارم موجود ہوں جہاں کوڈ پر عمل درآمد کرنے کے لیے اس کا فائدہ اٹھایا جا سکے۔
مسائل کی نشاندہی کی گئی:
- CVE-2022-3602 ایک کمزوری ہے، جسے ابتدائی طور پر اہم قرار دیا گیا ہے، جو X.509 سرٹیفکیٹ میں خصوصی طور پر تیار کردہ ای میل ایڈریس فیلڈ کی توثیق کرتے وقت 4 بائٹ بفر اوور فلو کا سبب بنتا ہے۔ TLS کلائنٹ میں، اس سے منسلک ہونے پر کمزوری کا فائدہ اٹھایا جا سکتا ہے۔ سرورحملہ آور کے زیر کنٹرول۔ TLS سرور پر، اگر سرٹیفکیٹس کا استعمال کرتے ہوئے کلائنٹ کی تصدیق کو فعال کیا جاتا ہے تو کمزوری کا فائدہ اٹھایا جا سکتا ہے۔ سرٹیفکیٹ سے متعلقہ چین آف ٹرسٹ کی تصدیق ہونے کے بعد خطرہ خود کو ظاہر کرتا ہے، یعنی حملے کے لیے سرٹیفیکیشن اتھارٹی کو حملہ آور کے بدنیتی پر مبنی سرٹیفکیٹ کی توثیق کرنے کی ضرورت ہوتی ہے۔
- CVE-2022-3786 CVE-2022-3602 کمزوری سے فائدہ اٹھانے کے لیے ایک اور ویکٹر ہے، جس کی نشاندہی مسئلے کے تجزیہ کے دوران ہوئی۔ اختلافات "" پر مشتمل بائٹس کی صوابدیدی تعداد کے ذریعہ اسٹیک پر بفر کو اوور فلو کرنے کے امکان تک ابلتے ہیں۔ (یعنی حملہ آور اوور فلو کے مواد کو کنٹرول نہیں کر سکتا اور مسئلہ صرف ایپلیکیشن کو کریش کرنے کے لیے استعمال کیا جا سکتا ہے)۔
کمزوریاں صرف OpenSSL 3.0.x برانچ میں ظاہر ہوتی ہیں (بگ یونیکوڈ کنورژن کوڈ (پنی کوڈ) میں متعارف کرایا گیا تھا جسے 3.0.x برانچ میں شامل کیا گیا تھا)۔ OpenSSL 1.1.1 کی ریلیز، نیز OpenSSL فورک لائبریریز LibreSSL اور BoringSSL، مسئلہ سے متاثر نہیں ہوتی ہیں۔ اسی وقت، OpenSSL 1.1.1s اپ ڈیٹ جاری کیا گیا، جس میں صرف غیر سیکیورٹی بگ فکسز شامل ہیں۔
اوپن ایس ایس ایل 3.0 برانچ کو تقسیم میں استعمال کیا جاتا ہے جیسے Ubuntu 22.04، CentOS سٹریم 9، RHEL 9، OpenMandriva 4.2، Gentoo، Fedora 36، Debian ٹیسٹنگ/غیر مستحکم۔ ان سسٹمز کے صارفین کو مشورہ دیا جاتا ہے کہ وہ جلد از جلد اپ ڈیٹس انسٹال کریں (Debian, Ubuntu، RHEL، SUSE/openSUSE، Fedora، Arch)۔ SUSE میں Linux OpenSSL 3.0 کے ساتھ Enterprise 15 SP4 اور openSUSE Leap 15.4 پیکجز اختیاری طور پر دستیاب ہیں، سسٹم پیکجز 1.1.1 برانچ استعمال کرتے ہیں۔ OpenSSL 1.x شاخیں باقی ہیں۔ Debian 11، محراب Linux، باطل Linux, Ubuntu 20.04 اپریل، سلیک ویئر، ALT Linux، RHEL 8، OpenWrt، الپائن Linux 3.16 اور فری بی ایس ڈی۔
ماخذ: opennet.ru
