Podatności Botan

Botan w wersjach przed 1.11.22 nieprawidłowo waliduje ścieżki certyfikatów, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez certyfikat z pętlą w łańcuchu certyfikatów.

Botan w wersjach 1.11.x przed 1.11.22 jest podatny na atak typu padding-oracle, który umożliwia zdalnym atakującym odszyfrowanie danych szyfrowanych w protokole TLS przy użyciu szyfrów CBC.

Botan w wersjach 1.11.x przed 1.11.29 nie egzekwuje polityki TLS dla algorytmów podpisu oraz krzywych ECC, co umożliwia zdalnym atakującym przeprowadzenie ataków typu downgrade.

Botan w wersjach przed 1.10.13 oraz 1.11.x przed 1.11.29 nie stosuje algorytmu o stałym czasie do obliczania odwrotności modularnej dla nonce podpisu k, co może umożliwić zdalnym atakującym uzyskanie tajnych kluczy ECDSA poprzez atak boczny oparty na czasie.

Funkcja ressol w Botan przed wersją 1.10.11 oraz 1.11.x przed wersją 1.11.27 pozwala zdalnym atakującym na wywołanie odmowy usługi (nieskończona pętla) poprzez nieokreślony input do funkcji OS2ECP, związanej z modułem złożonym.

Botan w wersjach przed 1.10.13 oraz 1.11.x przed 1.11.22 umożliwia zdalnym atakującym przeprowadzanie ataków milionów wiadomości poprzez pomiar różnic czasowych związanych z dekodowaniem paddingu PKCS#1.

Dekoder BER w Botan 1.10.x przed wersją 1.10.10 oraz 1.11.x przed wersją 1.11.19 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie pamięci) poprzez nieokreślone wektory, związane z polem długości.

Dekoder BER w Botan w wersjach 0.10.x przed 1.10.10 oraz 1.11.x przed 1.11.19 pozwala zdalnym atakującym na spowodowanie awarii aplikacji poprzez przesłanie pustego BIT STRING w danych ASN.1.

Sprawdzanie pierwszości Miller-Rabin w Botan przed wersją 1.10.8 oraz 1.11.x przed wersją 1.11.9 niewłaściwie używa pojedynczej losowej bazy, co ułatwia zdalnym atakującym pokonanie mechanizmów ochrony kryptograficznej za pomocą grupy DH.

W bibliotece kryptograficznej Botan (C++) funkcja C API botan_block_cipher_block_size konwertowała rozmiar bloku typu size_t na int bez sprawdzenia zakresu. W aplikacji przyjmującej zewnętrzne parametry algorytmu i używającej trybu ECB przez FFI atakujący może wybrać szyfr Lion o zmiennym rozmiarze bloku, co prowadzi do obcięcia rozmiaru, zbyt małej alokacji pamięci i uszkodzenia pamięci. Problem naprawiono w wersji 3.13.0.

W implementacji TLS 1.3 w bibliotece Botan przed wersją 3.11.1, rekordy ApplicationData mogą być przetwarzane przed odebraniem komunikatu Finished. Umożliwia to klientowi ominięcie uwierzytelniania certyfikatem.

Botan w wersjach 1.11.x przed 1.11.22 niewłaściwie obsługuje dopasowywanie z użyciem znaków wieloznacznych w nazwach hostów, co może umożliwić zdalnym atakującym osiągnięcie nieokreślonego wpływu za pomocą ważnego certyfikatu X.509.

W wersjach Botan od 1.8.0 do 1.11.33, podczas dekodowania danych BER może wystąpić przepełnienie całkowite, co prowadzi do obliczenia niepoprawnego pola długości. Niektórzy wywołujący API mogą wykorzystać zwrócone (niepoprawne i kontrolowane przez atakującego) pole długości w sposób, który później powoduje uszkodzenie pamięci lub inne awarie.

Przepełnienie całkowite w konstruktorze PointGFp w Botan przed wersją 1.10.11 oraz 1.11.x przed wersją 1.11.27 umożliwia zdalnym atakującym nadpisanie pamięci i potencjalne wykonanie dowolnego kodu poprzez spreparowany punkt ECC, co prowadzi do przepełnienia bufora w stercie.

W bibliotece Botan polecenie botan ocsp_check pobierało odpowiedź OCSP z adresu Authority Information Access certyfikatu bez weryfikacji podpisu odpowiedzi ani autoryzacji podpisującego. Złośliwy responder lub atakujący w ścieżce mógł zwrócić pasującą i aktualną odpowiedź GOOD z pustym, nieprawidłowym lub nieautoryzowanym podpisem, przez co unieważniony certyfikat dawał kod wyjścia 0 i wynik OCSP check OK. Dotyczy to wyłącznie interfejsu wiersza poleceń; problem naprawiono w wersji 3.13.0.

W bibliotece Botan powiązanie Python konwertowało łańcuchy Python zawierające U+0000 na const char* bez konsekwentnego odrzucania osadzonego NUL, przez co bcrypt i check_bcrypt przetwarzały tylko prefiks przed NUL. Aplikacje mogły walidować dłuższe hasło, ale hashować krótszą efektywną wartość, co umożliwiało obejście polityki haseł; scrypt i argon2 nie są dotknięte. Problem naprawiono w wersji 3.13.0.

W bibliotece Botan klient OCSP online przed wersją 3.13.0 zezwalał na pojedyncze przekierowanie HTTP podczas wysyłania żądania OCSP do URI w rozszerzeniu Authority Information Access certyfikatu. Złośliwy responder OCSP lub atakujący w ścieżce mógł przekierować klienta do wykonania jednego ślepego żądania do wewnętrznej usługi HTTP, co stanowi blind SSRF; czas odpowiedzi może ujawniać informacje o usługach wewnętrznych. Problem naprawiono w wersji 3.13.0.

W bibliotece kryptograficznej Botan (C++) od wersji 3.7.0 do 3.13.0 aplikacja, która wywoła AutoSeeded_RNG::clear(), a następnie wywoła randomize z pustym buforem wyjściowym, gdy generator nie jest zaseedowany, może spowodować oznaczenie AutoSeeded_RNG jako zaseedowanego bez konsultacji ze skonfigurowanym źródłem entropii. W kompilacjach bez BOTAN_HAS_SYSTEM_RNG mechanizm zapasowy używa jedynie wartości zegara i identyfikatora procesu, więc późniejsze żądanie niepustego bufora może zwrócić dane z przewidywalnego stanu. Problem naprawiono w wersji 3.13.0.

W bibliotece kryptograficznej Botan w wersji 3.11.0 funkcja Certificate_Store::certificate_known miała mylącą nazwę – zwracała true, jeśli jakikolwiek certyfikat w magazynie miał DN (i identyfikator klucza podmiotu, jeśli ustawiony) pasujący do argumentu, ale nie sprawdzała, czy certyfikat jest identyczny. W wersji 3.11.0 rozszerzono logikę walidacji ścieżki, zakładając, że certificate_known zwraca true tylko dla identycznych certyfikatów. Skutek: jeśli certyfikat końcowy ma DN pasujący do zaufanego roota, jest akceptowany jako zaufany root. Podatność naprawiona w wersji 3.11.1.