【漏洞预警】OpenSSL信任管理问题漏洞（CVE-2022-1343）

 01

漏洞描述

 

OpenSSL是Openssl团队的一个开源的能够实现安全套接层（SSLv2/v3）和安全传输层（TLSv1）协议的通用加密库。该产品支持多种加密算法，包括对称密码、哈希算法、安全散列算法等。

OpenSSL存在信任管理问题漏洞，该漏洞源于OCSP_basic_verify函数用于验证签名者证书，在使用标志OCSP_NOCHECKS的情况下，攻击者可利用该漏洞构造恶意数据进行证书欺骗攻击，从而实现非法响应签名证书验证成功。

 02

漏洞危害

函数“OCSP_basic_verify”在OCSP响应上验证签名者证书。如果使用了（非默认）标志OCSP_NOCHECKS，则响应将是肯定的（意味着验证成功），即使在响应签名证书未能验证的情况下也是如此。预计“OCSPu basicu verify”的大多数用户不会使用OCSPu NOCHECKS标志。在这种情况下，如果证书验证失败，“OCSP_basic_verify”函数将返回负值（表示致命错误）。在这种情况下，正常的预期返回值为0。此问题还影响命令行OpenSSL“ocsp”应用程序。使用“-no_cert_checks”选项验证ocsp响应时，命令行应用程序将报告验证成功，即使它实际上失败了。在这种情况下，错误的成功响应还将伴随错误消息，显示失败并与明显成功的结果相矛盾。在OpenSSL 3.0.3中修复（受3.0.0,3.0.1,3.0.2影响）。

 03

影响范围

Openssl OpenSSL 3.0.0

Openssl OpenSSL 3.0.1

Openssl OpenSSL 3.0.2

04

漏洞等级

   

   中危

 05

修复方案

厂商已发布升级修复漏洞，用户请尽快更新至安全版本。

引用：

https://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=2eda98790c5c2741d76d23cc1e74b0dc4f4b391a

END

长按识别二维码，了解更多

原文始发于微信公众号（易东安全研究院）：【漏洞预警】OpenSSL信任管理问题漏洞（CVE-2022-1343）