Уязвимость в OpenSSL может привести к сбою в работе удаленных серверов

Разработчики OpenSSL выпустили исправление для опасной уязвимости в своей программной библиотеке. Ее эксплуатация позволяла злоумышленникам вызвать состояние «отказа в обслуживании» (DoS) при анализе сертификатов.

Уязвимость (CVE-2022-0778) получила оценку в 7,5 балла по шкале CVSS и связана с синтаксическим анализом искаженного сертификата с недопустимыми явными параметрами эллиптической кривой, что приводит к так называемому «бесконечному циклу». Проблема заключается в функции под названием BN_mod_sqrt(), которая используется для вычисления модульного квадратного корня.

«Поскольку синтаксический анализ сертификата происходит до проверки подписи сертификата, любой процесс, который анализирует предоставленный извне сертификат, может быть подвергнут атаке типа «отказ в обслуживании. Бесконечный цикл также может быть достигнут при анализе созданных закрытых ключей, поскольку они могут содержать явные параметры эллиптической кривой», — говорится в бюллетене OpenSSL.

В настоящее время нет никаких свидетельств того, что уязвимость использовалась в реальных атаках. Проблема затрагивает версии OpenSSL 1.0.2, 1.1.1 и 3.0 и была устранена в версиях OpenSSL 1.0.2zd (для клиентов с премиальной поддержкой), 1.1.1n и 3.0.2. Версия OpenSSL 1.1.0 также подвержена уязвимости, однако не получит исправления в связи с окончанием срока поддержки.