Cititorii ca tine ajută la sprijinirea MUO. Când efectuați o achiziție folosind link-uri de pe site-ul nostru, este posibil să câștigăm un comision de afiliat.
În ultima săptămână din octombrie 2022, Proiectul OpenSSL a dezvăluit două vulnerabilități găsite în biblioteca OpenSSL. Atât CVE-2022-360, cât și CVE-2022-3786 au fost etichetate probleme de gravitate „înaltă”, cu un scor CVSS de 8,8, cu doar 0,2 puncte mai mic decât ceea ce ar trebui să fie considerate „critice”.
Problema constă în procesul de verificare a certificatelor pe care OpenSSL le efectuează pentru autentificarea bazată pe certificate. Exploatarea vulnerabilităților ar putea permite unui atacator să lanseze un atac de tip Denial of Service (DoS) sau chiar un atac Remote Code Execution. Patch-uri pentru cele două puncte slabe găsite în OpenSSL v3.0.0 până la v3.06 au fost acum lansate.
Ce este OpenSSL?
OpenSSL este un utilitar de linie de comandă de criptare open-source utilizat pe scară largă, implementat pentru a menține în siguranță schimbul de trafic web între un client și un server. Este folosit pentru a genera chei publice și private, pentru a instala certificate SSL/TLS, pentru a verifica informațiile despre certificat și pentru a oferi criptare.
Problema a ieșit la lumină pe 17 octombrie 2022, când Polar Bear a dezvăluit două vulnerabilități de nivel înalt găsite în OpenSSL versiunile 3.0.0 până la 3.0.6 pentru OpenSSL Project. Vulnerabilitățile sunt CVE-2022-3602 și CVE-2022-3786.
Pe 25 octombrie 2022, vestea vulnerabilităților a ajuns pe internet. Mark Cox, un inginer de software Red Hat și vicepreședintele Securității Apache Software Foundation a dat vestea într-un tweet.
Cum poate un atacator să exploateze aceste vulnerabilități?
Perechea de vulnerabilități CVE-2022-3602 și CVE-2022-3786 sunt predispuse la atac de depășire a tamponului care este un atac cibernetic în care conținutul memoriei serverului este abuzat pentru a dezvălui informații despre utilizator și chei private ale serverului sau pentru a executa execuția codului de la distanță.
CVE-2022-3602
Această vulnerabilitate permite unui atacator să profite de depășirea tamponului în verificarea certificatului X.509 în verificarea constrângerii de nume. Acest lucru se întâmplă după verificarea lanțului de certificate și necesită o semnătură CA pe certificatul rău intenționat sau verificarea certificatului pentru a continua, în ciuda eșecului de a mapa la un emitent de încredere.
Un atacator poate incorpora o schemă de phishing cum ar fi crearea unei adrese de e-mail fabricate pentru a depăși patru octeți pe stivă. Acest lucru poate duce la un atac de tip Denial-of-Service (DoS) în care serviciul devine indisponibil după prăbușire sau atacatorul poate efectua Execuția codului de la distanță, ceea ce înseamnă că un cod este rulat de la distanță pentru a controla aplicația Server.
Această vulnerabilitate poate fi declanșată dacă un client TLS autentic se conectează la un server rău intenționat sau dacă un server TLS autentic se conectează la un client rău intenționat.
CVE-2022-3786
Această vulnerabilitate este exploatată la fel ca CVE-2022-3602. Singura diferență este că un atacator creează o adresă de e-mail rău intenționată pentru a depăși un număr arbitrar de octeți care conțin „.” caracter (zecimală 46). Cu toate acestea, în CVE-2022-3602, sunt exploatați doar patru octeți controlați de atacator.
Vulnerabilitatea notorie „Heartbleed” Flashback
În 2016, în OpenSSL a fost descoperită o problemă similară căreia i s-a acordat un rating de severitate „Critic”. Acesta a fost o eroare de manipulare a memoriei care a permis atacatorilor să compromită chei secrete, parole și alte informații sensibile pe serverele vulnerabile. Infamul bug este cunoscut ca Heartbleed (CVE-2014-0160) și până în prezent, peste 200.000 de mașini sunt considerate vulnerabile la această slăbiciune.
Care este soluția?
În lumea actuală conștientă de securitatea cibernetică, multe platforme implementează protecții la supraîncărcare pentru a ține atacatorii la distanță. Acest lucru oferă atenuarea necesară împotriva depășirii tamponului.
O reducere suplimentară a acestor vulnerabilități implică actualizarea la cea mai recentă versiune lansată de OpenSSL. Deoarece OpenSSL v3.0.0 la v3.0.6 este vulnerabil, se recomandă să faceți upgrade la OpenSSL v3.0.7. Cu toate acestea, dacă utilizați OpenSSL v1.1.1 și v1.0.2, puteți continua să utilizați aceste versiuni deoarece nu sunt afectate de cele două vulnerabilități.
Cele două vulnerabilități sunt greu de exploatat
Șansele ca aceste vulnerabilități să fie abuzate sunt scăzute, deoarece una dintre condiții este un certificat malformat semnat de o CA de încredere. Datorită peisajului de atac în continuă creștere, majoritatea sistemelor moderne se asigură că implementează mecanisme de securitate încorporate pentru a evita aceste tipuri de atacuri.
Securitatea cibernetică este o necesitate în lumea de astăzi, cu mecanisme de protecție încorporate și avansate, vulnerabilități ca acestea fiind greu de exploatat. Datorită actualizărilor de securitate lansate de OpenSSL în timp, nu trebuie să vă faceți griji cu privire la aceste vulnerabilități. Doar luați măsurile necesare, cum ar fi corecția sistemului și implementarea unor straturi bune de securitate și veți putea folosi OpenSSL în siguranță.