OpenSSL多个高危漏洞风险提示

admin 2022年11月2日20:55:31安全漏洞评论15 views1219字阅读4分3秒阅读模式
OpenSSL多个高危漏洞风险提示


漏洞公告

近日,安恒信息CERT监测到了OpenSSL发布安全公告修复了2个高危漏洞。其中包括OpenSSL缓冲区溢出漏洞(CVE-2022-3602)和OpenSSL缓冲区溢出漏洞(CVE-2022-3786)。攻击者成功利用漏洞可能会触发缓冲区溢出,导致拒绝服务或远程代码执行。目前官方已发布安全版本,建议受影响的用户尽快采取安全措施。


参考链接:

https://www.openssl.org/news/secadv/20221101.txt

https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/



影响范围


受影响版本:

3.0.0 ≤ OpenSSL < 3.0.7



漏洞描述


OpenSSL是OpenSSL团队开发的一个开源的能够实现安全套接层(SSLv2/v3)和安全传输层(TLSv1)协议的通用加密库。该产品支持多种加密算法,包括对称密码、哈希算法、安全散列算法等。

OpenSSL缓冲区溢出漏洞(CVE-2022-3602):受影响版本可在X.509证书验证过程中,特别在名称约束检查中触发缓冲区溢出。缓冲区溢出的情况发生在证书链签名验证之后,且要求证书颁发机构签名恶意证书或应用程序在构建受信任发布机构路径失败后继续进行证书验证。攻击者可构造恶意邮件地址,在栈上溢出四个受攻击者控制的字节,导致拒绝服务或可能引发远程代码执行。

由于新的Linux发行版中存在栈溢出保护,实际执行远程代码的风险很小,大多数情况只可能导致拒绝服务。在TLS客户端,可通过连接到恶意服务器来触发。在TLS服务器中,如果服务器请求客户端验证且连接恶意客户端可触发。
细节是否公开 POC状态 EXP状态 在野利用
未公开 未公开
未发现



OpenSSL缓冲区溢出漏洞(CVE-2022-3786):受影响版本可在X.509证书验证过程中,特别在名称约束检查中触发缓冲区溢出。缓冲区溢出的情况出发生在证书链签名验证之后,且需要证书颁发机构签名恶意证书或应用程序在构建受信任发布机构路径失败后继续进行证书验证。攻击者可构造恶意邮件地址在栈上溢出包含‘.’字符的任意字节数量,导致拒绝服务。

在TLS客户端,可通过连接到恶意服务器来触发。在TLS服务器中,如果服务器请求客户端验证且连接恶意客户端可触发。

细节是否公开 POC状态 EXP状态 在野利用
未公开 未公开
未发现






缓解措施


高危:目前漏洞细节和利用代码暂未公开,但恶意攻击者可以通过补丁对比分析出漏洞触发点,建议受影响用户及时升级更新到安全版本。


官方建议:

1、目前OpenSSL官方已发布安全版本修复上述漏洞,建议受影响的用户升级至OpenSSL 3.0.7及以上安全版本。

下载地址:

https://www.openssl.org/source/



安恒信息CERT

2022年11月

原文始发于微信公众号(安恒信息CERT):OpenSSL多个高危漏洞风险提示

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月2日20:55:31
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  OpenSSL多个高危漏洞风险提示 http://cn-sec.com/archives/1386019.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: