Podatności OpenSSL

W OpenSSL 0.9.8, 1.0.1, 1.0.2 do 1.0.2h oraz 1.1.0 znaleziono lukę typu denial of service, która dotyczy przetwarzania pakietów ALERT podczas nawiązywania połączenia TLS/SSL. Zdalny atakujący może wykorzystać tę lukę, aby spowodować nadmierne zużycie CPU przez serwer TLS/SSL, co uniemożliwi akceptowanie połączeń od innych klientów.

Podatność CVE-2017-3731 dotyczy serwerów i klientów SSL/TLS działających na 32-bitowych hostach, które mogą ulegać awarii w wyniku odczytu poza granicami pamięci spowodowanego przez skrócony pakiet. W przypadku OpenSSL 1.1.0, awaria może być wywołana przy użyciu algorytmu CHACHA20/POLY1305, a w OpenSSL 1.0.2 przy użyciu RC4-MD5.

W OpenSSL w wersji 1.1.0 przed 1.1.0d, złośliwy serwer może dostarczyć nieprawidłowe parametry dla wymiany kluczy DHE lub ECDHE, co może prowadzić do próby dereferencji wskaźnika NULL przez klienta, skutkując awarią klienta.

W OpenSSL w wersji 1.1.0 przed 1.1.0c, połączenia TLS korzystające z szyfrów *-CHACHA20-POLY1305 są podatne na atak DoS poprzez uszkodzenie większych ładunków. Może to prowadzić do awarii OpenSSL.

W OpenSSL 1.0.2i występuje podatność, która pozwala zdalnym atakującym na spowodowanie awarii aplikacji poprzez wywołanie operacji CRL, co prowadzi do dereferencji wskaźnika NULL.

Funkcja ssl3_read_bytes w OpenSSL 1.1.0 przed wersją 1.1.0a pozwala zdalnym atakującym na wywołanie odmowy usługi (nieskończona pętla) poprzez wywołanie rekordu o zerowej długości w wywołaniu SSL_peek.

W OpenSSL przed wersją 1.0.1u, 1.0.2 przed 1.0.2i oraz 1.1.0 przed 1.1.0a występują wielokrotne wycieki pamięci w pliku t1_lib.c. Umożliwia to zdalnym atakującym spowodowanie odmowy usługi poprzez dużą ilość rozszerzeń żądania statusu OCSP.

Funkcja tls_decrypt_ticket w OpenSSL przed wersją 1.1.0 nie uwzględnia rozmiaru HMAC podczas walidacji długości biletu, co umożliwia zdalnym atakującym spowodowanie odmowy usługi za pomocą zbyt krótkiego biletu.

Implementacja DTLS w OpenSSL przed wersją 1.1.0 nie ogranicza prawidłowo czasu życia wpisów w kolejce związanych z nieużywanymi wiadomościami przychodzącymi w złej kolejności. To pozwala zdalnym atakującym na wywołanie odmowy usługi (zużycie pamięci) poprzez utrzymywanie wielu stworzonych sesji DTLS jednocześnie.

Funkcja X509_NAME_oneline w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed wersją 1.0.2h umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci stosu procesu lub spowodowanie odmowy usługi (przepełnienie bufora) poprzez spreparowane dane EBCDIC ASN.1.

Funkcja asn1_d2i_read_bio w implementacji ASN.1 BIO w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed wersją 1.0.2h umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie pamięci) poprzez krótkie, nieprawidłowe kodowanie.

Przepełnienie całkowite w funkcji EVP_EncryptUpdate w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed 1.0.2h umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez dużą ilość danych, co prowadzi do uszkodzenia pamięci na stercie.

Przepełnienie całkowitej liczby w funkcji EVP_EncodeUpdate w OpenSSL przed wersją 1.0.1t oraz 1.0.2 przed wersją 1.0.2h może prowadzić do usunięcia usługi poprzez uszkodzenie pamięci na stercie w wyniku przetwarzania dużej ilości danych binarnych.

W OpenSSL przed wersją 0.9.6 występuje błąd w obsłudze operacji bitowych przesunięcia C, który może prowadzić do nieprawidłowego generowania kluczy RSA na platformach 64-bitowych HP-UX. To ułatwia zdalnym atakującym pokonanie mechanizmów ochrony kryptograficznej.

W OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g występuje wyciek pamięci w implementacji SRP_VBASE_get_by_user. Zdalni atakujący mogą spowodować odmowę usługi poprzez podanie nieprawidłowej nazwy użytkownika podczas próby połączenia.

W OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g występują wielokrotne przepełnienia całkowite, które mogą prowadzić do odmowy usługi poprzez uszkodzenie pamięci sterty lub dereferencję wskaźnika NULL. Atakujący mogą wykorzystać długie ciągi cyfr, które są niewłaściwie obsługiwane przez funkcje BN_dec2bn lub BN_hex2bn.

W OpenSSL 1.0.1 przed wersją 1.0.1q oraz 1.0.2 przed wersją 1.0.2e istnieje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez wykorzystanie podpisu RSA PSS ASN.1, który nie zawiera parametru funkcji generującej maskę.

Funkcja X509_cmp_time w OpenSSL przed wersjami 0.9.8zg, 1.0.0 przed 1.0.0s, 1.0.1 przed 1.0.1n oraz 1.0.2 przed 1.0.2b pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez złośliwe pole długości w danych ASN1_TIME, co prowadzi do odczytu poza zakresem i awarii aplikacji.

Funkcja dtls1_clear_queues w OpenSSL przed wersją 0.9.8za, 1.0.0 przed 1.0.0m oraz 1.0.1 przed 1.0.1h zwalnia struktury danych bez uwzględnienia, że dane aplikacyjne mogą przybyć pomiędzy wiadomościami ChangeCipherSpec a Finished. To pozwala zdalnym partnerom DTLS na wywołanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki poprzez nieoczekiwane dane aplikacyjne.

W funkcji EVP_DecodeUpdate w OpenSSL występuje problem z niedoborem wartości całkowitej, co może prowadzić do uszkodzenia pamięci lub odmowy usługi. Atakujący mogą wykorzystać spreparowane dane base64, aby wywołać przepełnienie bufora.

W OpenSSL przed wersją 0.9.8zc, 1.0.0 przed 1.0.0o oraz 1.0.1 przed 1.0.1j występuje wyciek pamięci w funkcji tls_decrypt_ticket, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez specjalnie przygotowany bilet sesyjny, który wywołuje błąd weryfikacji integralności.

W OpenSSL 1.0.1 przed wersją 1.0.1j występuje wyciek pamięci w rozszerzeniu DTLS SRTP, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez odpowiednio skonstruowaną wiadomość handshake.

OpenSSL w wersjach przed 0.9.8za, 1.0.0 przed 1.0.0m oraz 1.0.1 przed 1.0.1h nie ogranicza prawidłowo przetwarzania wiadomości ChangeCipherSpec. To umożliwia atakującym typu man-in-the-middle wywołanie użycia klucza głównego o zerowej długości w niektórych komunikacjach OpenSSL, co może prowadzić do przejęcia sesji lub uzyskania wrażliwych informacji.

Klienci używający surowych kluczy publicznych RFC7250 (RPK) do uwierzytelniania serwera mogą nie zauważyć, że serwer nie został uwierzytelniony, ponieważ uzgadnianie nie przerywa się zgodnie z oczekiwaniami, gdy ustawiony jest tryb weryfikacji SSL_VERIFY_PEER. Wpływ: połączenia TLS i DTLS używające surowych kluczy publicznych...

Jeśli aplikacja używająca funkcji `SSL_CIPHER_find()` w kliencie lub serwerze protokołu QUIC otrzyma nieznany zestaw szyfrów od peer'a, następuje dereferencja pustego wskaźnika. Prowadzi to do nieprawidłowego zakończenia procesu, powodując odmowę usługi (DoS).

Sprawdzanie bardzo długich kluczy lub parametrów DSA może być bardzo wolne. Aplikacje używające funkcji EVP_PKEY_param_check() lub EVP_PKEY_public_check() do weryfikacji klucza publicznego DSA lub parametrów DSA mogą doświadczać długich opóźnień.

Podatność w implementacji asemblerowej wewnętrznej funkcji kryptograficznej na architekturze ppc64le powoduje wyciek kilku bitów sekretnych skalarów z powodu użycia instrukcji o zmiennym czasie wykonania. Ze względu na sposób użycia tej funkcji, wyciek nie jest wystarczający do odzyskania klucza prywatnego.

W obliczeniach podpisu ECDSA wykryto kanał boczny czasowy, który może potencjalnie umożliwić odzyskanie klucza prywatnego. Atakujący mógłby wykorzystać pomiary czasu do odtworzenia klucza prywatnego.

Certyfikat z URI zawierającym adres IPv6 z identyfikatorem strefy może nieprawidłowo spełniać ograniczenie nazwy URI w łańcuchu certyfikatów. Podatność dotyczy wyłącznie prywatnych PKI używających URI, ponieważ certyfikaty z URI nie są dozwolone w publicznym PKI.

Podatność dotyczy deszyfrowania ChaCha20-Poly1305 i AES-OCB z pustym ciphertextem, które może zgłosić sukces bez weryfikacji dostarczonego tagu uwierzytelniającego, gdy operacja jest finalizowana przez wywołanie funkcji EVP_Cipher(). Aplikacje wywołujące EVP_Cipher() na pustym ciphertextcie i oczekujące sprawdzenia tagu AEAD mogą akceptować sfałszowane wiadomości.

Podatność w OpenSSL dotyczy walidacji odpowiedzi CMP, gdzie nazwa wyróżniająca (DN) nadawcy jest przekazywana jako ciąg formatujący do ERR_raise_data(). Atakujący może wysłać specjalnie skonstruowany DN zawierający znaki procentu, co prowadzi do awarii klienta CMP. Problem występuje, gdy klient wymusza oczekiwanego nadawcę lub używa przypiętego certyfikatu serwera.

Podatność w OpenSSL dotyczy nieprawidłowego przetwarzania kontenerów AuthEnvelopedData w CMS, gdzie brak walidacji pól szyfru i długości tagu umożliwia atakującemu podmianę szyfru na nieuwierzytelniony (np. AES-256-OFB) lub skrócenie tagu do jednego bajtu. Skutkuje to możliwością uzyskania funkcjonalności równoważnej kluczowi dla wybranego odbiorcy oraz ominięciem integralności wiadomości.

Konwersja bardzo dużego ciągu OCTET STRING na ciąg szesnastkowy powoduje przepełnienie bufora sterty na platformach 32-bitowych. Może to prowadzić do awarii lub potencjalnie do wykonania dowolnego kodu przez atakującego.

Podatność w OpenSSL podczas parsowania wiadomości CMS AuthEnvelopedData lub EnvelopedData z złośliwie spreparowanymi parametrami AEAD może prowadzić do przepełnienia bufora na stosie. Atakujący może dostarczyć wiadomość CMS z nadmiernie długim wektorem inicjalizacyjnym (IV), co powoduje zapis poza zakresem przed weryfikacją uwierzytelnienia.

Użycie niskopoziomowych interfejsów API krzywych eliptycznych GF(2^m) z niezaufanymi jawnymi wartościami wielomianu pola może prowadzić do odczytu lub zapisu pamięci poza granicami. Może to spowodować awarię aplikacji lub potencjalnie zdalne wykonanie kodu, choć prawdopodobieństwo wystąpienia podatnej aplikacji jest niskie, ponieważ większość protokołów używa tylko "nazwanych krzywych" lub kodowania X9.62, które nie może reprezentować problematycznych wartości. Moduły FIPS w wersjach 3.3, 3.2, 3.1 i 3.0 nie są dotknięte tym problemem.

Podatność w bibliotece OpenSSL dotyczy funkcji SSL_select_next_proto, która przy wywołaniu z pustą listą protokołów klienta (client_len równym 0) może spowodować odczyt poza buforem. W wyniku tego może dojść do awarii aplikacji lub wysłania do drugiej strony połączenia do 255 bajtów danych z pamięci, co prowadzi do utraty poufności. Problem występuje tylko w aplikacjach, które bezpośrednio wywołują tę funkcję z zerową długością listy protokołów klienta, co zazwyczaj jest wynikiem błędu konfiguracji lub programowania.

Niektóre niedomyślne konfiguracje serwera TLS mogą powodować nieograniczony wzrost pamięci podczas przetwarzania sesji TLSv1.3. Problem występuje, gdy używana jest opcja SSL_OP_NO_TICKET (ale nie gdy skonfigurowano early_data i domyślną ochronę anty-replay). W pewnych warunkach pamięć podręczna sesji może wejść w nieprawidłowy stan i nie opróżniać się prawidłowo, rosnąc w nieograniczony sposób. Złośliwy klient może celowo wywołać tę sytuację, powodując odmowę usługi. Może się to również zdarzyć przypadkowo. Podatność dotyczy tylko serwerów TLS obsługujących TLSv1.3, nie klientów. Moduły FIPS w wersjach 3.2, 3.1 i 3.0 oraz OpenSSL 1.0.2 nie są podatne.

Podatność w OpenSSL dotyczy generowania lub sprawdzania nadmiernie długich kluczy X9.42 DH, co może powodować bardzo długie opóźnienia. Funkcje DH_generate_key() i DH_check_pub_key() nie sprawdzają odpowiednio dużych parametrów P i Q, co przy danych z niezaufanego źródła może prowadzić do ataku typu Denial of Service.

Podatność w OpenSSL dotyczy przetwarzania specjalnie spreparowanych identyfikatorów obiektów ASN.1 (OBJECT IDENTIFIER) zawierających bardzo duże pod-identyfikatory. Funkcja OBJ_obj2txt() przy konwersji takich danych na postać tekstową działa w czasie O(n^2), co może powodować bardzo długie opóźnienia, a w konsekwencji atak typu Denial of Service. Problem dotyczy aplikacji używających OBJ_obj2txt() bezpośrednio oraz w OpenSSL 3.0+ podsystemów OCSP, PKCS7/SMIME, CMS, CMP/CRMF i TS, a także przetwarzania certyfikatów X.509.

W wszystkich wspieranych wersjach OpenSSL zidentyfikowano podatność związaną z weryfikacją łańcuchów certyfikatów X.509 zawierających ograniczenia polityki. Atakujący mogą wykorzystać tę podatność, tworząc złośliwy łańcuch certyfikatów, który wywołuje wykładnicze zużycie zasobów obliczeniowych, prowadząc do ataku odmowy usługi (DoS). Przetwarzanie polityk jest domyślnie wyłączone, ale można je włączyć, przekazując argument `-policy` do narzędzi wiersza poleceń lub wywołując funkcję `X509_VERIFY_PARAM_set1_policies()`.

W OpenSSL występuje podatność typu type confusion związana z przetwarzaniem adresów X.400 wewnątrz X.509 GeneralName. Adresy X.400 są parsowane jako ASN1_STRING, ale publiczna definicja struktury GENERAL_NAME błędnie określa typ pola x400Address jako ASN1_TYPE, co jest następnie interpretowane przez funkcję GENERAL_NAME_cmp jako ASN1_TYPE zamiast ASN1_STRING. Gdy włączone jest sprawdzanie CRL (flaga X509_V_FLAG_CRL_CHECK), atakujący może przekazać dowolne wskaźniki do wywołania memcmp, umożliwiając odczyt pamięci lub odmowę usługi.

Podatność use-after-free w funkcji BIO_new_NDEF biblioteki OpenSSL. W przypadku błędu (np. nieprawidłowego klucza publicznego odbiorcy CMS) łańcuch BIO nie jest prawidłowo czyszczony, a wywołanie BIO_pop() prowadzi do użycia zwolnionej pamięci. Dotyczy to m.in. funkcji SMIME, CMS i PKCS7 oraz aplikacji wiersza poleceń cms i smime.

Podatność w funkcji PEM_read_bio_ex() w OpenSSL pozwala na podwójne zwolnienie pamięci (double free) podczas parsowania specjalnie skonstruowanych plików PEM z zerową ilością danych. Może to prowadzić do awarii procesu i stanowić wektor ataku DoS.

W implementacji odszyfrowywania RSA w OpenSSL istnieje kanał boczny oparty na czasie, który może wystarczyć do odzyskania tekstu jawnego w ataku typu Bleichenbacher. Aby osiągnąć skuteczne odszyfrowanie, atakujący musi być w stanie wysłać bardzo dużą liczbę próbnych wiadomości do odszyfrowania. Luka dotyczy wszystkich trybów paddingu RSA: PKCS#1 v1.5, RSA-OEAP i RSASVE.

Tryb AES OCB dla 32-bitowych platform x86 z użyciem zoptymalizowanej implementacji asemblerowej AES-NI nie szyfruje całych danych w niektórych okolicznościach. Może to ujawnić szesnaście bajtów danych, które istniały w pamięci przed zapisem. W przypadku szyfrowania "w miejscu" ujawnione zostanie szesnaście bajtów tekstu jawnego. OpenSSL nie wspiera suites cipher OCB dla TLS i DTLS, więc są one niezagrożone. Poprawione w OpenSSL 3.0.5 (dotknięte 3.0.0-3.0.4) i 1.1.1q (dotknięte 1.1.1-1.1.1p).

Wydanie OpenSSL 3.0.4 wprowadziło poważny błąd w implementacji RSA dla procesorów X86_64 obsługujących instrukcje AVX512IFMA. Ten problem powoduje, że implementacja RSA z 2048-bitowymi kluczami prywatnymi jest niepoprawna na takich maszynach, a podczas obliczeń dochodzi do uszkodzenia pamięci. W konsekwencji uszkodzenia pamięci atakujący może być w stanie wywołać zdalne wykonanie kodu na maszynie wykonującej obliczenia.

Skrypt c_rehash nieprawidłowo oczyszcza metaznaki powłoki, co umożliwia wstrzyknięcie poleceń. Podatność ta jest rozszerzeniem CVE-2022-1292 i dotyczy dodatkowych miejsc w skrypcie, w których nazwy plików certyfikatów są przekazywane do poleceń wykonywanych przez powłokę. Skrypt jest automatycznie uruchamiany w niektórych systemach operacyjnych, co pozwala atakującemu na wykonanie dowolnych poleceń z uprawnieniami skryptu.

Skrypt c_rehash nie oczyszcza prawidłowo metaznaków powłoki, co umożliwia wstrzyknięcie poleceń. Skrypt jest rozpowszechniany przez niektóre systemy operacyjne w sposób, w którym jest automatycznie wykonywany. W takich systemach atakujący może wykonać dowolne polecenia z uprawnieniami skryptu.

Funkcja BN_mod_sqrt() w OpenSSL zawiera błąd powodujący nieskończoną pętlę dla niepierwszych modułów. Podatność można wykorzystać, dostarczając spreparowany certyfikat z nieprawidłowymi parametrami krzywej eliptycznej, co prowadzi do odmowy usługi (DoS). Problem dotyczy wersji OpenSSL 1.0.2, 1.1.1 oraz 3.0.

Błąd w implementacji deszyfrowania SM2 w OpenSSL powoduje, że pierwsze wywołanie EVP_PKEY_decrypt() może zwrócić zbyt mały rozmiar bufora, co przy drugim wywołaniu prowadzi do przepełnienia bufora o maksymalnie 62 bajty. Atakujący może wykorzystać to do zmiany danych lub spowodowania awarii aplikacji.