Podatności OpenSSL

Podatność w OpenSSL dotyczy buforowania rekordów DTLS dla przyszłej epoki podczas trwania uzgadniania. Atakujący może wysłać małe sfałszowane rekordy, powodując zatrzymanie przez punkt końcowy około 1,7 MB pamięci na połączenie, co daje współczynnik amplifikacji pamięci około 1200. Może to prowadzić do zdalnego wyczerpania pamięci (Denial of Service) na serwerach DTLS.

Podwójne zwolnienie obiektu QRX w stosie QUIC serwera OpenSSL podczas nieudanego tworzenia kanału dla pakietu INITIAL. Błąd prowadzi do uszkodzenia sterty i zwykle kończy się zatrzymaniem procesu serwera QUIC (Denial of Service).

W konfiguracji serwera lub klienta z włączonymi surowymi kluczami publicznymi RFC7250 (RPK) i skonfigurowanym tylko kluczem prywatnym (bez certyfikatu), może wystąpić dereferencja wskaźnika NULL, gdy zdalny peer żąda surowych kluczy publicznych i wysyła zwykle pomijane rozszerzenie TLS "signature_algorithms_cert". Wpływ ogranicza się do możliwego ataku typu Denial of Service (przerwanie działania aplikacji), bez ujawnienia danych lub zdalnego wykonania kodu.

Podatność w implementacji QUIC serwera OpenSSL pozwala zdalnemu atakującemu na nieograniczone przydzielanie pamięci przez wysyłanie pakietów Initial z nieznanymi identyfikatorami połączeń. Brak limitu oczekujących połączeń może doprowadzić do wyczerpania pamięci i odmowy usługi (DoS). Problem występuje od wersji OpenSSL 3.5.

Złośliwy serwer TLS może spowodować wyciek pamięci w kliencie TLS, który włączył sprawdzanie odpowiedzi OCSP, wysyłając odpowiedź OCSP bez żadnych wpisów pojedynczych odpowiedzi. Atakujący może wyciec kontrolowaną ilość pamięci na każde uzgadnianie TLS, co przy długotrwałym połączeniu może doprowadzić do wyczerpania pamięci i odmowy usługi.

Podatność w OpenSSL podczas deszyfrowania CMS opartego na haśle (RFC 3211) pozwala atakującemu na wywołanie odczytu poza dozwolonym obszarem sterty. Atakujący może wybrać szyfr strumieniowy jako klucz szyfrujący KEK, co omija zabezpieczenia i prowadzi do odczytu poza przydzielonym buforem.

W ASN1_mbstring_ncopy() wykryto przepełnienie liczby całkowitej ze znakiem podczas obliczania rozmiaru bufora docelowego dla wyjścia Unicode. Może to prowadzić do przepełnienia sterty, potencjalnie umożliwiając wykonanie dowolnego kodu lub awarię.

Podatność use-after-free w OpenSSL podczas weryfikacji podpisów PKCS#7 lub S/MIME. Specjalnie spreparowana wiadomość może spowodować nieprawidłowe zwolnienie obiektu BIO, co prowadzi do awarii procesu, uszkodzenia sterty lub potencjalnie zdalnego wykonania kodu.

Implementacje AES-SIV i AES-GCM-SIV w OpenSSL nieprawidłowo obsługują uwierzytelnianie AAD przy pustym ciphertext, co umożliwia fałszerstwo takich wiadomości. Atakujący może wysłać dowolne AAD z pustym ciphertextem i zerowym tagiem, który zostanie uznany za poprawny.

Podatność w OpenSSL powoduje, że przy użyciu jednorazowego interfejsu EVP_Cipher() dla szyfru AES-OCB, dostarczony wektor inicjalizacyjny (IV) jest pomijany. Każda wiadomość szyfrowana tym samym kluczem używa tego samego efektywnego nonce, co prowadzi do utraty poufności i umożliwia fałszowanie uwierzytelnienia.

OpenSSL ma podatność na odczyt poza zakresem w funkcji X509_VERIFY_PARAM_set1_email podczas walidacji spreparowanego adresu e-mail, np. w weryfikacji S/MIME. Błąd w wewnętrznej funkcji pomocniczej powoduje, że limit 64 oktetów dla lokalnej części adresu e-mail nie jest egzekwowany, co może prowadzić do odczytu poza zakresem i potencjalnej awarii.

Podatność w OpenSSL dotyczy funkcji EVP_PKEY_derive_set_peer() przy użyciu klucza DHX (X9.42). Złośliwy peer może wykorzystać brak prawidłowego sprawdzenia przynależności do podgrupy, co prowadzi do wycieku klucza prywatnego ofiary po kilku próbach wymiany kluczy.

Błąd w funkcji wywołania zwrotnego używanej do weryfikacji certyfikatu w odpowiedzi na komunikat aktualizacji klucza głównego urzędu certyfikacji (Root CA) w protokole CMP sprawił, że walidacja certyfikatu była nieskuteczna. Może to prowadzić do eskalacji uprawnień z poziomu urzędu rejestracji (RA) do poziomu głównego urzędu certyfikacji (root CA).

Funkcje CMS_decrypt i PKCS7_decrypt w OpenSSL są podatne na atak typu Bleichenbacher, gdy atakujący może dostarczyć wiadomości CMS lub S/MIME i obserwować kod błędu lub wynik deszyfrowania. Atak umożliwia wykorzystanie podatnej aplikacji ofiary do deszyfrowania lub podpisywania wiadomości z użyciem jej prywatnego klucza RSA.

W OpenSSL występuje podatność na dereferencję wskaźnika NULL w kliencie CMP. Atakujący kontrolujący serwer CMP (lub działający jako man-in-the-middle) może wysłać odpowiedź CMP zawierającą CRMF CertRepMessage z EncryptedValue, gdzie pole symmAlg ma OID algorytmu, ale brakuje parametrów. Przetworzenie takiej odpowiedzi przez klienta OpenSSL CMP powoduje dereferencję NULL i awarię (DoS). Nie dotyczy modułów FIPS.

OpenSSL przed wersją (nieokreśloną) zawiera podatność na dereferencję wskaźnika NULL podczas deszyfrowania CMS chronionego hasłem. Specjalnie spreparowana wiadomość CMS może spowodować awarię aplikacji i odmowę usługi (DoS).

W OpenSSL występuje podatność na wyłuskanie wskaźnika NULL podczas weryfikacji certyfikatów z włączonym sprawdzaniem OCSP dla całego łańcucha (X509_V_FLAG_OCSP_RESP_CHECK_ALL) i weryfikacją częściowego łańcucha (X509_V_FLAG_PARTIAL_CHAIN). Gdy łańcuch nie zawiera samopodpisanego zaufanego certyfikatu głównego, następuje odwołanie do NULL i awaria procesu.

Podatność w OpenSSL QUIC serwerze. Otrzymanie początkowego pakietu QUIC z nieprawidłowym tokenem może wywołać dereferencję wskaźnika NULL, gdy walidacja adresu jest wyłączona. Powoduje to awarię procesu serwera QUIC i odmowę usługi. Domyślnie walidacja adresu jest włączona, więc domyślna konfiguracja nie jest podatna.

OpenSSL jest podatny na podwójne zwolnienie pamięci (double-free) podczas weryfikacji certyfikatu klienta, gdy używane jest OCSP stapling. Złośliwy serwer może dostarczyć spreparowaną odpowiedź OCSP, co prowadzi do uszkodzenia pamięci sterty.

Zdalny peer może wyczerpać pamięć sterty serwera lub klienta QUIC, zalewając go pakietami zawierającymi ramki PATH_CHALLENGE. Lokalny stos QUIC alokuje ramkę PATH_RESPONSE dla każdego PATH_CHALLENGE, która jest zwalniana dopiero po potwierdzeniu przez zdalnego peera – złośliwy peer nie potwierdza, co prowadzi do nieograniczonej alokacji pamięci i odmowy usługi. Moduły FIPS nie są dotknięte.

Przetwarzanie plików PKCS#12 w OpenSSL nie przeprowadza wystarczającej walidacji dla plików używających mechanizmu integralności PBMAC1, co umożliwia fałszerstwo certyfikatów i kluczy prywatnych. Atakujący podszywający się pod użytkownika może spowodować, że usługa odczytująca pliki PKCS#12 zaakceptuje sfałszowane certyfikaty z prawdopodobieństwem 1 na 256.

Podatność w parserze ASN.1 biblioteki OpenSSL powoduje przepełnienie bufora sterty podczas przetwarzania spreparowanych struktur DER, gdy długość elementu pierwotnego przekracza 2 GB. Problem dotyczy 64-bitowych systemów Unix i pochodnych.

Podatność w OpenSSL związana z RSASVE, gdzie nieudane szyfrowanie RSA może zwrócić sukces, pozostawiając niezainicjalizowany bufor. Atakujący może wykorzystać to do wycieku wrażliwych danych z poprzednich operacji procesu.

Podatność w OpenSSL podczas przetwarzania spreparowanej wiadomości CMS EnvelopedData z KeyTransportRecipientInfo. Brak sprawdzenia obecności opcjonalnego pola parametrów w RSA-OAEP prowadzi do dereferencji wskaźnika NULL i awarii.

Podatność w OpenSSL podczas przetwarzania spreparowanej wiadomości CMS EnvelopedData z KeyAgreeRecipientInfo. Brak sprawdzenia obecności opcjonalnego pola parametrów w KeyEncryptionAlgorithmIdentifier prowadzi do dereferencji wskaźnika NULL i awarii.

Podatność w OpenSSL podczas przetwarzania delta CRL z rozszerzeniem Delta CRL Indicator. Brak sprawdzenia obecności rozszerzenia CRL Number prowadzi do dereferencji wskaźnika NULL, co może spowodować awarię aplikacji.

W rzadkiej konfiguracji klientów używających uwierzytelniania serwera opartego na DANE TLSA, w połączeniu z nietypowymi rekordami TLSA serwera, może wystąpić use-after-free i/lub double-free po stronie klienta. Podatność dotyczy tylko klientów obsługujących rekordy TLSA z certyfikatami PKIX-TA(0)/PKIX-EE(1) oraz DANE-TA(2). Klienci SMTP zgodni z RFC7672 nie są podatni.

Podatność w OpenSSL dotycząca odczytu poza zakresem przy szyfrowaniu/deszyfrowaniu AES-CFB128 na systemach z AVX-512 i VAES. Może prowadzić do awarii aplikacji (DoS) przy spełnieniu określonych warunków.

Podatność w kliencie HTTP OpenSSL powoduje odczyt poza zakresem, gdy zmienna środowiskowa 'no_proxy' jest ustawiona, a host w URL-u jest adresem IPv6. Może to prowadzić do awarii aplikacji i odmowy usługi (DoS).

W implementacji algorytmu SM2 na 64-bitowych platformach ARM wykryto podatność na atak typu timing side-channel, który może potencjalnie umożliwić zdalne odzyskanie klucza prywatnego. Podatność ta nie dotyczy standardowych konfiguracji TLS w OpenSSL, ale może być wykorzystana w niestandardowych scenariuszach z użyciem certyfikatów SM2.

Podatność w OpenSSL podczas deszyfrowania wiadomości CMS chronionych hasłem (PWRI) może prowadzić do odczytu i zapisu poza dozwolonym obszarem pamięci. Błąd występuje w implementacji CMS, która rzadko używa szyfrowania opartego na haśle.

W OpenSSL wykryto błąd w obsłudze argumentu właściwości w wybranych funkcjach. Podatność umożliwia wykorzystanie use-after-free, co może prowadzić do nieokreślonego zachowania lub nieprawidłowego parsowania właściwości, w wyniku czego OpenSSL traktuje dane wejściowe jako pusty ciąg znaków.