OpenSSL 加密庫 3.0.2 和 1.1.1n 的維護版本現已推出。 此更新修復了一個漏洞 (CVE-2022-0778)，該漏洞可導致拒絕服務（處理程序無限循環）。 要利用漏洞，只需處理專門設計的憑證即可。 該問題發生在可以處理用戶提供的證書的伺服器和客戶端應用程式中。
該問題是由 BN_mod_sqrt() 函數中的錯誤引起的，該錯誤會導致在計算對質數以外的數取模的平方根時出現循環。 當使用基於橢圓曲線的密鑰解析憑證時使用該函數。 操作歸結為將不正確的橢圓曲線參數替換到憑證中。 由於問題發生在驗證憑證的數位簽章之前，因此未經身份驗證的使用者可能會執行攻擊，從而導致客戶端或伺服器憑證使用 OpenSSL 傳輸到應用程式。
此漏洞也影響 OpenBSD 專案開發的 LibreSSL 函式庫，LibreSSL 3.3.6、3.4.3 和 3.5.1 的修正版本中提出了修復程序。 此外，該漏洞的利用條件分析已經發布（尚未公開導致凍結的惡意憑證範例）。
來源： opennet.ru