OpenSSL 加密库 3.0.2 和 1.1.1n 的维护版本现已推出。 此更新修复了一个漏洞 (CVE-2022-0778)，该漏洞可导致拒绝服务（处理程序无限循环）。 要利用该漏洞，只需处理专门设计的证书即可。 该问题发生在可以处理用户提供的证书的服务器和客户端应用程序中。
该问题是由 BN_mod_sqrt() 函数中的错误引起的，该错误会导致在计算对素数以外的数取模的平方根时出现循环。 当使用基于椭圆曲线的密钥解析证书时使用该函数。 操作归结为将不正确的椭圆曲线参数替换到证书中。 由于问题发生在验证证书的数字签名之前，因此未经身份验证的用户可能会执行攻击，从而导致客户端或服务器证书使用 OpenSSL 传输到应用程序。
该漏洞还影响 OpenBSD 项目开发的 LibreSSL 库，LibreSSL 3.3.6、3.4.3 和 3.5.1 的修正版本中提出了修复程序。 此外，该漏洞的利用条件分析已经发布（尚未公开导致冻结的恶意证书示例）。
来源： opennet.ru