OpenSSL拒绝服务漏洞安全风险通告

2022年3月16日，飓风安全监测到OpenSSL官方发布了OpenSSL拒绝服务漏洞的安全风险通告，漏洞编号为：CVE-2022-0778。

OpenSSL是一个安全套接字层密码库，囊括主要的密码算法、常用的密钥和证书封装管理功能及SSL协议，并提供丰富的应用程序供测试或其它目的使用。

鉴于漏洞危害较大，飓风安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

该漏洞由于计算模平方根的 BN_mod_sqrt() 函数包含错误导致，该错误可能导致它对于非素数模数无限循环。当解析部分公钥或证书时，会使用此函数。由于证书解析发生在证书签名验证之前，攻击者可以通过制作恶意证书，并在解析外部证书的过程中使用该证书，攻击者利用该漏洞可导致远程使业务系统拒绝服务。

通用修复建议：

根据影响版本中的信息，排查并升级到安全版本，下载链接请参考：

https://www.openssl.org/source/

注：OpenSSL 1.0.2 和OpenSSL 1.1.0 已停止支持。