Podatności OpenSSL

W OpenSSL 0.9.8, 1.0.1, 1.0.2 do 1.0.2h oraz 1.1.0 znaleziono lukę typu denial of service, która dotyczy przetwarzania pakietów ALERT podczas nawiązywania połączenia TLS/SSL. Zdalny atakujący może wykorzystać tę lukę, aby spowodować nadmierne zużycie CPU przez serwer TLS/SSL, co uniemożliwi akceptowanie połączeń od innych klientów.

Podatność CVE-2017-3731 dotyczy serwerów i klientów SSL/TLS działających na 32-bitowych hostach, które mogą ulegać awarii w wyniku odczytu poza granicami pamięci spowodowanego przez skrócony pakiet. W przypadku OpenSSL 1.1.0, awaria może być wywołana przy użyciu algorytmu CHACHA20/POLY1305, a w OpenSSL 1.0.2 przy użyciu RC4-MD5.

W OpenSSL w wersji 1.1.0 przed 1.1.0d, złośliwy serwer może dostarczyć nieprawidłowe parametry dla wymiany kluczy DHE lub ECDHE, co może prowadzić do próby dereferencji wskaźnika NULL przez klienta, skutkując awarią klienta.

W OpenSSL w wersji 1.1.0 przed 1.1.0c, połączenia TLS korzystające z szyfrów *-CHACHA20-POLY1305 są podatne na atak DoS poprzez uszkodzenie większych ładunków. Może to prowadzić do awarii OpenSSL.

W OpenSSL 1.0.2i występuje podatność, która pozwala zdalnym atakującym na spowodowanie awarii aplikacji poprzez wywołanie operacji CRL, co prowadzi do dereferencji wskaźnika NULL.

Funkcja ssl3_read_bytes w OpenSSL 1.1.0 przed wersją 1.1.0a pozwala zdalnym atakującym na wywołanie odmowy usługi (nieskończona pętla) poprzez wywołanie rekordu o zerowej długości w wywołaniu SSL_peek.

W OpenSSL przed wersją 1.0.1u, 1.0.2 przed 1.0.2i oraz 1.1.0 przed 1.1.0a występują wielokrotne wycieki pamięci w pliku t1_lib.c. Umożliwia to zdalnym atakującym spowodowanie odmowy usługi poprzez dużą ilość rozszerzeń żądania statusu OCSP.

Funkcja tls_decrypt_ticket w OpenSSL przed wersją 1.1.0 nie uwzględnia rozmiaru HMAC podczas walidacji długości biletu, co umożliwia zdalnym atakującym spowodowanie odmowy usługi za pomocą zbyt krótkiego biletu.

Implementacja DTLS w OpenSSL przed wersją 1.1.0 nie ogranicza prawidłowo czasu życia wpisów w kolejce związanych z nieużywanymi wiadomościami przychodzącymi w złej kolejności. To pozwala zdalnym atakującym na wywołanie odmowy usługi (zużycie pamięci) poprzez utrzymywanie wielu stworzonych sesji DTLS jednocześnie.

Funkcja X509_NAME_oneline w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed wersją 1.0.2h umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci stosu procesu lub spowodowanie odmowy usługi (przepełnienie bufora) poprzez spreparowane dane EBCDIC ASN.1.

Funkcja asn1_d2i_read_bio w implementacji ASN.1 BIO w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed wersją 1.0.2h umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie pamięci) poprzez krótkie, nieprawidłowe kodowanie.

Przepełnienie całkowite w funkcji EVP_EncryptUpdate w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed 1.0.2h umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez dużą ilość danych, co prowadzi do uszkodzenia pamięci na stercie.

Przepełnienie całkowitej liczby w funkcji EVP_EncodeUpdate w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed wersją 1.0.2h może prowadzić do usunięcia usługi poprzez uszkodzenie pamięci na stercie w wyniku przetwarzania dużej ilości danych binarnych.

W OpenSSL przed wersją 0.9.6 występuje błąd w obsłudze operacji bitowych przesunięcia C, który może prowadzić do nieprawidłowego generowania kluczy RSA na platformach 64-bitowych HP-UX. To ułatwia zdalnym atakującym pokonanie mechanizmów ochrony kryptograficznej.

W OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g występuje wyciek pamięci w implementacji SRP_VBASE_get_by_user. Zdalni atakujący mogą spowodować odmowę usługi poprzez podanie nieprawidłowej nazwy użytkownika podczas próby połączenia.

W OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g występują wielokrotne przepełnienia całkowite, które mogą prowadzić do odmowy usługi poprzez uszkodzenie pamięci sterty lub dereferencję wskaźnika NULL. Atakujący mogą wykorzystać długie ciągi cyfr, które są niewłaściwie obsługiwane przez funkcje BN_dec2bn lub BN_hex2bn.

W OpenSSL 1.0.1 przed wersją 1.0.1q oraz 1.0.2 przed wersją 1.0.2e istnieje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez wykorzystanie podpisu RSA PSS ASN.1, który nie zawiera parametru funkcji generującej maskę.

Funkcja X509_cmp_time w OpenSSL przed wersjami 0.9.8zg, 1.0.0 przed 1.0.0s, 1.0.1 przed 1.0.1n oraz 1.0.2 przed 1.0.2b pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez złośliwe pole długości w danych ASN1_TIME, co prowadzi do odczytu poza zakresem i awarii aplikacji.

Funkcja dtls1_clear_queues w OpenSSL przed wersją 0.9.8za, 1.0.0 przed 1.0.0m oraz 1.0.1 przed 1.0.1h zwalnia struktury danych bez uwzględnienia, że dane aplikacyjne mogą przybyć pomiędzy wiadomościami ChangeCipherSpec a Finished. To pozwala zdalnym partnerom DTLS na wywołanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki poprzez nieoczekiwane dane aplikacyjne.

W funkcji EVP_DecodeUpdate w OpenSSL występuje problem z niedoborem wartości całkowitej, co może prowadzić do uszkodzenia pamięci lub odmowy usługi. Atakujący mogą wykorzystać spreparowane dane base64, aby wywołać przepełnienie bufora.

W OpenSSL przed wersją 0.9.8zc, 1.0.0 przed 1.0.0o oraz 1.0.1 przed 1.0.1j występuje wyciek pamięci w funkcji tls_decrypt_ticket, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez specjalnie przygotowany bilet sesyjny, który wywołuje błąd weryfikacji integralności.

W OpenSSL 1.0.1 przed wersją 1.0.1j występuje wyciek pamięci w rozszerzeniu DTLS SRTP, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez odpowiednio skonstruowaną wiadomość handshake.

OpenSSL w wersjach przed 0.9.8za, 1.0.0 przed 1.0.0m oraz 1.0.1 przed 1.0.1h nie ogranicza prawidłowo przetwarzania wiadomości ChangeCipherSpec. To umożliwia atakującym typu man-in-the-middle wywołanie użycia klucza głównego o zerowej długości w niektórych komunikacjach OpenSSL, co może prowadzić do przejęcia sesji lub uzyskania wrażliwych informacji.

W obliczeniach podpisu ECDSA wykryto kanał boczny czasowy, który może potencjalnie umożliwić odzyskanie klucza prywatnego. Atakujący mógłby wykorzystać pomiary czasu do odtworzenia klucza prywatnego.

Klienci używający surowych kluczy publicznych RFC7250 (RPK) do uwierzytelniania serwera mogą nie zauważyć, że serwer nie został uwierzytelniony, ponieważ uzgadnianie nie przerywa się zgodnie z oczekiwaniami, gdy ustawiony jest tryb weryfikacji SSL_VERIFY_PEER. Wpływ: połączenia TLS i DTLS używające surowych kluczy publicznych...

Jeśli aplikacja używająca funkcji `SSL_CIPHER_find()` w kliencie lub serwerze protokołu QUIC otrzyma nieznany zestaw szyfrów od peer'a, następuje dereferencja pustego wskaźnika. Prowadzi to do nieprawidłowego zakończenia procesu, powodując odmowę usługi (DoS).

Certyfikat z URI zawierającym adres IPv6 z identyfikatorem strefy może nieprawidłowo spełniać ograniczenie nazwy URI w łańcuchu certyfikatów. Podatność dotyczy wyłącznie prywatnych PKI używających URI, ponieważ certyfikaty z URI nie są dozwolone w publicznym PKI.

Generowanie lub sprawdzanie zbyt długich kluczy DH X9.42 może być bardzo wolne. Aplikacje używające funkcji DH_generate_key() lub DH_check() mogą doświadczać długich opóźnień.

Podatność w implementacji asemblerowej wewnętrznej funkcji kryptograficznej na architekturze ppc64le powoduje wyciek kilku bitów sekretnych skalarów z powodu użycia instrukcji o zmiennym czasie wykonania. Ze względu na sposób użycia tej funkcji, wyciek nie jest wystarczający do odzyskania klucza prywatnego.

Podatność w bibliotece OpenSSL pozwala na niekontrolowany wzrost pamięci podczas przetwarzania sesji TLSv1.3 w niektórych niestandardowych konfiguracjach serwera. Atakujący może wykorzystać tę lukę do przeprowadzenia ataku typu Denial of Service (DoS).

Przetwarzanie złośliwie sformatowanego pliku PKCS12 może spowodować awarię OpenSSL, prowadząc do potencjalnego ataku typu Denial of Service. Aplikacje ładujące pliki w formacie PKCS12 z niezaufanych źródeł mogą nagle zakończyć działanie.

Sprawdzanie bardzo długich kluczy lub parametrów DSA może być bardzo wolne. Aplikacje używające funkcji EVP_PKEY_param_check() lub EVP_PKEY_public_check() do weryfikacji klucza publicznego DSA lub parametrów DSA mogą doświadczać długich opóźnień.

Użycie niskopoziomowych API krzywych eliptycznych GF(2^m) z niezaufanymi jawnymi wartościami wielomianu pola może prowadzić do odczytu lub zapisu poza zakresem pamięci.

Podatność w OpenSSL dotyczy nieprawidłowego przetwarzania kontenerów AuthEnvelopedData w CMS, gdzie brak walidacji pól szyfru i długości tagu umożliwia atakującemu podmianę szyfru na nieuwierzytelniony (np. AES-256-OFB) lub skrócenie tagu do jednego bajtu. Skutkuje to możliwością uzyskania funkcjonalności równoważnej kluczowi dla wybranego odbiorcy oraz ominięciem integralności wiadomości.

Konwersja bardzo dużego ciągu OCTET STRING na ciąg szesnastkowy powoduje przepełnienie bufora sterty na platformach 32-bitowych. Może to prowadzić do awarii lub potencjalnie do wykonania dowolnego kodu przez atakującego.

Podatność w OpenSSL podczas parsowania wiadomości CMS AuthEnvelopedData lub EnvelopedData z złośliwie spreparowanymi parametrami AEAD może prowadzić do przepełnienia bufora na stosie. Atakujący może dostarczyć wiadomość CMS z nadmiernie długim wektorem inicjalizacyjnym (IV), co powoduje zapis poza zakresem przed weryfikacją uwierzytelnienia.

W pliku statem/statem.c w OpenSSL 1.1.0a nie uwzględniono ruchu bloków pamięci po wywołaniu realloc, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (use-after-free) lub potencjalne wykonanie dowolnego kodu za pomocą spreparowanej sesji TLS.

Przepełnienie całkowite w funkcji MDC2_Update w OpenSSL przed wersją 1.1.0 może umożliwić zdalnym atakującym spowodowanie odmowy usługi poprzez zapis poza przydzielonym obszarem pamięci, co prowadzi do awarii aplikacji.

Funkcja BN_bn2dec w OpenSSL przed wersją 1.1.0 nieprawidłowo waliduje wyniki dzielenia, co może prowadzić do awarii aplikacji lub odmowy usługi.

OpenSSL w wersjach do 1.0.2h błędnie wykorzystuje arytmetykę wskaźników do sprawdzania granic buforów na stercie, co może umożliwić zdalnym atakującym spowodowanie odmowy usługi (przepełnienie całkowite i awaria aplikacji) lub potencjalnie inne nieokreślone skutki.

Implementacja ASN.1 w OpenSSL przed wersją 1.0.1o oraz 1.0.2 przed wersją 1.0.2c umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (błąd bufora i uszkodzenie pamięci) poprzez pole ANY w stworzonych danych zserializowanych, znane jako problem 'ujemnego zera'.

Funkcja doapr_outch w OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g nie weryfikuje, czy alokacja pamięci się powiodła, co umożliwia zdalnym atakującym spowodowanie odmowy usługi (zapisy poza zakresem lub zużycie pamięci) lub potencjalnie inny nieokreślony wpływ za pomocą długiego ciągu.

Funkcja fmtstr w OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g nieprawidłowo oblicza długości ciągów, co może prowadzić do odmowy usługi (przepełnienie i odczyt poza zakresem) w wyniku wysłania długiego ciągu.

Podatność typu double free w funkcji dsa_priv_decode w OpenSSL przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g pozwala zdalnym atakującym na spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie inny nieokreślony wpływ poprzez źle sformatowany klucz prywatny DSA.

Podatność dotyczy deszyfrowania ChaCha20-Poly1305 i AES-OCB z pustym ciphertextem, które może zgłosić sukces bez weryfikacji dostarczonego tagu uwierzytelniającego, gdy operacja jest finalizowana przez wywołanie funkcji EVP_Cipher(). Aplikacje wywołujące EVP_Cipher() na pustym ciphertextcie i oczekujące sprawdzenia tagu AEAD mogą akceptować sfałszowane wiadomości.

Podatność w OpenSSL dotyczy weryfikacji ochrony haseł w protokole CMP. Biblioteka sprawdza tylko, czy parametr protectionAlg nie jest pusty, ale nie weryfikuje jego typu ASN.1, co prowadzi do odwołania do nieprawidłowego wskaźnika. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę wadę do wywołania awarii aplikacji (Denial of Service).

Podatność w implementacji QUIC w OpenSSL pozwala zdalnemu atakującemu, który ukończy uzgadnianie QUIC, na wymuszenie niekontrolowanego wzrostu pamięci połączenia. Dzieje się tak, ponieważ stos QUIC przechowuje metadane pakietów ACK-only, nawet jeśli protokół nie wymaga ich potwierdzania. Przy ciągłym ruchu lub wielu równoczesnych połączeniach może to doprowadzić do wyczerpania pamięci i odmowy usługi (DoS).

OpenSSL Certificate Management Protocol (CMP) przechowuje dodatkowe certyfikaty (extraCerts) wysyłane w wiadomości CMP, ale nigdy ich nie usuwa (np. jeśli są nieprawidłowe). Jeśli serwer często używa tego samego OSSL_CMP_CTX, pamięć może rosnąć bez ograniczeń, a złośliwy klient może zalewać serwer CMP żądaniami, powodując niekontrolowany wzrost pamięci i potencjalnie warunki OOM.

Podatność w OpenSSL dotyczy walidacji odpowiedzi CMP, gdzie nazwa wyróżniająca (DN) nadawcy jest przekazywana jako ciąg formatujący do ERR_raise_data(). Atakujący może wysłać specjalnie skonstruowany DN zawierający znaki procentu, co prowadzi do awarii klienta CMP. Problem występuje, gdy klient wymusza oczekiwanego nadawcę lub używa przypiętego certyfikatu serwera.

Podatność w OpenSSL dotyczy funkcji CMS_decrypt() i polega na nieprawidłowym określeniu rozmiaru bufora wyjściowego podczas operacji rozpakowywania klucza (key unwrap). Atakujący może dostarczyć spreparowaną wiadomość CMS, która powoduje zapis 8 bajtów poza przydzielony obszar pamięci (heap overflow), co prowadzi do uszkodzenia sterty i typowo do odmowy usługi (DoS).