Những người bảo trì OpenSSL đã gửi các bản vá để giải quyết một lỗ hổng bảo mật nghiêm trọng cao trong thư viện phần mềm của nó có thể dẫn đến tình trạng từ chối dịch vụ (DoS) khi phân tích cú pháp chứng chỉ.
Được theo dõi là CVE-2022-0778 (điểm CVSS: 7,5), sự cố bắt nguồn từ việc phân tích cú pháp một chứng chỉ không đúng định dạng với các tham số đường cong elliptic rõ ràng không hợp lệ, dẫn đến cái được gọi là “vòng lặp vô hạn”. Lỗ hổng nằm trong một hàm có tên BN_mod_sqrt () được sử dụng để tính căn bậc hai mô-đun.
“Vì quá trình phân tích cú pháp chứng chỉ xảy ra trước khi xác minh chữ ký chứng chỉ, bất kỳ quá trình nào phân tích cú pháp chứng chỉ được cung cấp bên ngoài do đó có thể bị tấn công từ chối dịch vụ”, OpenSSL cho biết trong một tư vấn được công bố vào ngày 15 tháng 3 năm 2022.
“Vòng lặp vô hạn cũng có thể đạt được khi phân tích cú pháp các khóa riêng tư được tạo thủ công vì chúng có thể chứa các tham số đường cong elliptic rõ ràng.”
Mặc dù không có bằng chứng cho thấy lỗ hổng bảo mật đã bị khai thác một cách tự nhiên, nhưng có một số trường hợp mà nó có thể được vũ khí hóa, bao gồm khi máy khách TLS (hoặc máy chủ) truy cập chứng chỉ giả mạo từ một máy chủ độc hại (hoặc máy khách) hoặc khi chứng chỉ cơ quan chức năng phân tích các yêu cầu chứng nhận từ người đăng ký.
Lỗ hổng bảo mật ảnh hưởng đến các phiên bản OpenSSL 1.0.2, 1.1.1 và 3.0, chủ dự án đã khắc phục lỗ hổng này bằng việc phát hành các phiên bản 1.0.2zd (dành cho khách hàng hỗ trợ cao cấp), 1.1.1n và 3.0.2. OpenSSL 1.1.0, trong khi cũng bị ảnh hưởng, sẽ không nhận được bản sửa lỗi vì nó đã hết tuổi thọ.
Nhà nghiên cứu bảo mật Tavis Ormandy của Google Project Zero đã báo cáo lỗ hổng vào ngày 24 tháng 2 năm 2022. Bản sửa lỗi được phát triển bởi David Benjamin từ Google và Tomáš Mráz từ OpenSSL.
CVE-2022-0778 cũng là lỗ hổng OpenSSL thứ hai được giải quyết kể từ đầu năm. Vào ngày 28 tháng 1 năm 2022, những người bảo trì đã sửa một lỗ hổng ở mức độ trung bình (CVE-2021-4160, điểm CVSS: 5,9) ảnh hưởng đến quy trình bình phương MIPS32 và MIPS64 của thư viện.
.
