OpenSSL relata duas vulnerabilidades de alta gravidade

Duas vulnerabilidades de segurança de alta gravidade que afetam o OpenSSL foram divulgadas hoje, que foram os problemas que levaram o Fedora 37 a ser adiado para meados de novembro para permitir que as imagens de lançamento mitigassem os pacotes OpenSSL. Então, a equipe responsável pelo desenvolvimento do OpenSSL relata duas vulnerabilidades de alta gravidade. No entanto, infelizmente, esta não foi a primeira vez que uma falha grave foi relatada pela própria equipe.

As vulnerabilidades do OpenSSL tornadas públicas hoje são um buffer overflow de 4 bytes de endereço de e-mail X.509 (CVE-2022-3602) e um buffer overflow de comprimento variável de endereço de e-mail X.509 (CVE-2022-3786).

OpenSSL relata duas vulnerabilidades de alta gravidade

Ambas as vulnerabilidades dizem respeito a estouros de buffer na verificação do certificado X.509. CVE-2022-3602 é a vulnerabilidade originalmente considerada “crítica” e o que levou ao atraso do Fedora 37 e similares. No entanto, em uma análise mais aprofundada, eles decidiram rebaixar para gravidade “alta”.

Uma saturação de buffer pode ser acionada na verificação do certificado X.509, especificamente na verificação de restrição de nome. Observe que isso ocorre após a verificação da assinatura da cadeia de certificados e requer um CA tenha assinado o certificado malicioso ou que o aplicativo continuar a verificação do certificado apesar da falha na construção de um caminho para um emissor confiável. Um invasor pode criar um endereço de e-mail malicioso para estourar quatro bytes controlados pelo invasor na pilha. Este buffer estouro pode resultar em uma falha (causando uma negação de serviço) ou execução de código potencialmente remota.