【漏洞预警】OpenSSL拒绝服务漏洞

近日，安识科技A-Team团队监测到一则 OpenSSL 组件存在拒绝服务漏洞的信息，漏洞编号：CVE-2022-0778，漏洞威胁等级：高危。该漏洞是由于证书解析时使用的 BN_mod_sqrt() 函数存在一个错误，它会导致在非质数的情况下永远循环。可通过生成包含无效的显式曲线参数的证书来触发无限循环。由于证书解析是在验证证书签名之前进行的，因此任何解析外部提供的证书的程序都可能受到拒绝服务攻击。此外，当解析特制的私钥时(包含显式椭圆曲线参数)，也可以触发无限循环。攻击者可利用该漏洞对使用服务器证书的 TLS 客户端、使用客户端证书的 TLS 服务端、托管服务提供商从客户那里获得证书或私钥、证书颁发机构解析来自订阅者的认证请求、解析 ASN.1 椭圆曲线参数的任何其他内容、引起拒绝服务 (DoS) 攻击。

对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。

CVE：CVE-2022-0778

简述：OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连接者的身份。该漏洞是由于证书解析时使用的 BN_mod_sqrt() 函数存在一个错误，攻击者可利用该漏洞引起拒绝服务 (DoS) 攻击。

攻击者可利用该漏洞引起拒绝服务 (DoS) 攻击。

目前受影响的 OpenSSL 版本：

OpenSSL版本1.0.2：1.0.2-1.0.2zc

OpenSSL版本1.1.1：1.1.1-1.1.1m

OpenSSL版本 3.0：3.0.0、3.0.1

当前官方已发布最新版本，建议受影响的用户及时更新升级到对应版本。

OpenSSL 1.0.2 用户应升级至 1.0.2zd（仅限高级支持客户）

OpenSSL 1.1.1 用户应升级至 1.1.1n

OpenSSL 3.0 用户应升级至 3.0.2

链接如下：

https://www.openssl.org/source/https://github.com/embedthis/goahead

【-】2022年03月16日 安识科技A-Team团队监测到漏洞公布信息

【-】2022年03月16日 安识科技A-Team团队根据漏洞信息分析

【-】2022年03月17日 安识科技A-Team团队发布安全通告

原文始发于微信公众号（SecPulse安全脉搏）：【漏洞预警】OpenSSL拒绝服务漏洞