Podatności OpenSSL

Błąd w implementacji dodatkowej kontroli bezpieczeństwa w OpenSSL (flaga X509_V_FLAG_X509_STRICT) powoduje, że wynik wcześniejszej weryfikacji certyfikatów CA w łańcuchu jest nadpisywany. W efekcie możliwe jest obejście sprawdzenia, że certyfikat niebędący CA nie może wystawiać innych certyfikatów. Problem dotyczy OpenSSL w wersjach 1.1.1h do 1.1.1j.

Serwer OpenSSL TLS może ulec awarii po otrzymaniu złośliwie spreparowanej wiadomości renegocjacji ClientHello od klienta. Jeśli renegocjacja ClientHello dla TLSv1.2 pominie rozszerzenie signature_algorithms (które było obecne w początkowym ClientHello), ale zawiera rozszerzenie signature_algorithms_cert, nastąpi dereferencja wskaźnika NULL, prowadząca do awarii i ataku typu odmowa usługi. Podatne są wszystkie wersje OpenSSL 1.1.1, a problem został naprawiony w wersji 1.1.1k.

Aplikacje serwera lub klienta wywołujące funkcję SSL_check_chain() podczas lub po uzgadnianiu TLS 1.3 mogą ulec awarii z powodu dereferencji wskaźnika NULL. Przyczyną jest nieprawidłowa obsługa rozszerzenia TLS "signature_algorithms_cert" — awaria następuje, gdy od drugiej strony otrzymany zostanie nieprawidłowy lub nierozpoznany algorytm podpisu.

W OpenSSL występuje błąd przepełnienia w procedurze Montgomery'ego dla x64_64 używanej przy potęgowaniu z modułami 512-bitowymi. Nie dotyczy to algorytmów EC. Ataki na RSA1024, RSA1536 i DSA1024 są trudne, ale ataki na DH512 są uważane za możliwe. Naprawione w OpenSSL 1.1.1e i 1.0.2u.

OpenSSL pozwala na ustawienie nonce (IV) dłuższego niż 12 bajtów dla szyfru ChaCha20-Poly1305, przy czym nadmiarowe wiodące bajty są ignorowane. Jeśli aplikacja zmienia długość nonce na większą niż 12 bajtów i modyfikuje wiodące bajty, oczekując nowej unikalnej wartości, może nieumyślnie ponownie użyć nonce, co prowadzi do poważnych ataków na poufność i integralność. Problem dotyczy OpenSSL 1.1.1-1.1.1b oraz 1.1.0-1.1.0j; wewnętrzne użycie w SSL/TLS jest bezpieczne.

Algorytm podpisu DSA w OpenSSL jest podatny na atak przez kanał boczny oparty na czasie. Atakujący może wykorzystać zmiany w algorytmie podpisywania do odzyskania klucza prywatnego. Naprawione w OpenSSL 1.1.1a, 1.1.0j i 1.0.2q.

Algorytm podpisu ECDSA w OpenSSL jest podatny na atak przez kanał boczny czasu. Atakujący może wykorzystać zmiany w czasie podpisywania do odzyskania klucza prywatnego. Podatność dotyczy wersji 1.1.0-1.1.0i oraz 1.1.1. Naprawiono w wersjach 1.1.0j i 1.1.1a.

Podczas uzgadniania klucza w handshake TLS z użyciem zestawu szyfrów opartego na DH(E) złośliwy serwer może wysłać do klienta bardzo dużą wartość liczby pierwszej. Powoduje to, że klient spędza nieracjonalnie długi czas na generowaniu klucza, co prowadzi do zawieszenia do momentu zakończenia obliczeń.

Algorytm generowania kluczy RSA w OpenSSL jest podatny na atak typu cache timing side channel. Atakujący z wystarczającym dostępem do przeprowadzenia ataków czasowych na pamięć podręczną podczas generowania klucza RSA może odzyskać klucz prywatny. Podatność dotyczy wersji 1.1.0-1.1.0h oraz 1.0.2b-1.0.2o.

W pliku statem/statem.c w OpenSSL 1.1.0a nie uwzględniono ruchu bloków pamięci po wywołaniu realloc, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (use-after-free) lub potencjalne wykonanie dowolnego kodu za pomocą spreparowanej sesji TLS.

Przepełnienie całkowite w funkcji MDC2_Update w OpenSSL przed wersją 1.1.0 może umożliwić zdalnym atakującym spowodowanie odmowy usługi poprzez zapis poza przydzielonym obszarem pamięci, co prowadzi do awarii aplikacji.

Funkcja BN_bn2dec w OpenSSL przed wersją 1.1.0 nieprawidłowo waliduje wyniki dzielenia, co może prowadzić do awarii aplikacji lub odmowy usługi.

OpenSSL w wersjach do 1.0.2h błędnie wykorzystuje arytmetykę wskaźników do sprawdzania granic buforów na stercie, co może umożliwić zdalnym atakującym spowodowanie odmowy usługi (przepełnienie całkowite i awaria aplikacji) lub potencjalnie inne nieokreślone skutki.

Implementacja ASN.1 w OpenSSL przed wersją 1.0.1o oraz 1.0.2 przed wersją 1.0.2c umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (błąd bufora i uszkodzenie pamięci) poprzez pole ANY w stworzonych danych zserializowanych, znane jako problem 'ujemnego zera'.

Funkcja doapr_outch w OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g nie weryfikuje, czy alokacja pamięci się powiodła, co umożliwia zdalnym atakującym spowodowanie odmowy usługi (zapisy poza zakresem lub zużycie pamięci) lub potencjalnie inny nieokreślony wpływ za pomocą długiego ciągu.

Funkcja fmtstr w OpenSSL 1.0.1 przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g nieprawidłowo oblicza długości ciągów, co może prowadzić do odmowy usługi (przepełnienie i odczyt poza zakresem) w wyniku wysłania długiego ciągu.

Podatność typu double free w funkcji dsa_priv_decode w OpenSSL przed wersją 1.0.1s oraz 1.0.2 przed wersją 1.0.2g pozwala zdalnym atakującym na spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie inny nieokreślony wpływ poprzez źle sformatowany klucz prywatny DSA.

Funkcja ssl3_get_key_exchange w s3_clnt.c w OpenSSL przed 0.9.8zd, 1.0.0 przed 1.0.0p i 1.0.1 przed 1.0.1k pozwala zdalnym serwerom SSL przeprowadzać ataki downgrade RSA-to-EXPORT_RSA i ułatwiać brute-force deszyfrowanie poprzez oferowanie słabego efemerycznego klucza RSA w niezgodnej roli, co jest związane z problemem "FREAK". Uwaga: zakres tego CVE obejmuje tylko kod klienta oparty na OpenSSL, a nie problemy EXPORT_RSA związane z serwerami lub innymi implementacjami TLS.

W OpenSSL wykryto błąd polegający na nieprawidłowym usuwaniu wypełnienia PKCS-1 przed wygenerowaniem skrótu, gdy używany jest klucz RSA z wykładnikiem 3. Umożliwia to zdalnym atakującym fałszowanie podpisów PKCS #1 v1.5, a w konsekwencji nieprawidłową weryfikację certyfikatów X.509 i obejście mechanizmów zaufania oraz uwierzytelniania.

Zdalny atakujący może zalać lokalny stos QUIC ramkami NEW_CONNECTION_ID, omijając limit liczby identyfikatorów połączeń. Powoduje to wysyłanie ramek RETIRE_CONN_ID i, przy wstrzymywaniu ACK, alokację około 400 MB pamięci.

W OpenSSL 4.0 występuje błąd typu use-after-free (CWE-416) w mechanizmie buforowania rozszerzeń certyfikatów X.509. Gdy kilka wątków jednocześnie po raz pierwszy używa tego samego certyfikatu, jeden wątek może zwolnić pamięć bufora rozszerzeń, podczas gdy inny wątek wciąż z niej korzysta. Może to doprowadzić do awarii procesu i odmowy usługi (DoS).

W logice retransmisji DTLS występuje błąd, który nieprawidłowo obsługuje wstrzymany zapis komunikatu handshake. Retransmitowany komunikat może być odczytany poza bufor, ujawniając dane z pamięci heap lub powodując awarię i odmowę usługi (DoS).

Generowanie podpisu SM2 używa arytmetyki nie-stałoczasowej na tajnych wartościach, co tworzy kanał boczny oparty na czasie. Atakujący mierzący czas generowania podpisu może uzyskać informacje o tajnym nonce, co przy wielu podpisach może prowadzić do odzyskania klucza prywatnego. Podatność dotyczy wszystkich platform, na których wykonywane jest generowanie podpisów SM2.

Ustanowione połączenie DTLS 1.2 z szyfrowaniem AEAD może zostać zerwane przez pojedynczy nieuwierzytelniony datagram, którego zaszyfrowany fragment jest krótszy niż wymagany jawny wektor inicjalizacyjny (IV) i znacznik uwierzytelniający. Błąd polega na tym, że warstwa rekordów przekazuje długość rekordu do implementacji szyfru przed sprawdzeniem, czy rekord jest wystarczająco długi, co prowadzi do wewnętrznego błędu zamiast odrzucenia rekordu jako nieuwierzytelnionego.

Podatność typu NULL pointer dereference w kliencie protokołu CMP biblioteki OpenSSL. Gdy klient żąda unieważnienia certyfikatu na podstawie CSR PKCS#10, a serwer zwróci specjalnie spreparowaną nazwę certyfikatu w odpowiedzi, klient odczytuje dane spod wskaźnika NULL i ulega awarii. Problem dotyczy wyłącznie klientów używających CSR do identyfikacji certyfikatu (np. 'openssl cmp -cmd rr -csr' lub OSSL_CMP_exec_RR_ses() z OSSL_CMP_CTX_set1_p10CSR()).

Stos QUIC w OpenSSL nie egzekwuje limitów przepływu na poziomie połączenia dla strumieni. Zdalny, złośliwy peer może wysyłać więcej bajtów, o ile mieszczą się w limitach przepływu dla strumienia, co prowadzi do nadmiernej alokacji pamięci.

Serwer TLS, który wywołuje SSL_set_SSL_CTX() w trakcie uzgadniania połączenia, może uzyskać dostęp do pamięci poza końcem wewnętrznej tablicy, jeśli nowy kontekst zna więcej algorytmów podpisów dostawcy niż kontekst, z którego utworzono połączenie. Zdalny peer może spowodować mały odczyt poza zakresem, a w niektórych przypadkach zapis poza zakresem o stałej wartości na stercie serwera, co może prowadzić do odmowy usługi.

W implementacji OpenSSL operacji na kluczu prywatnym SM2 na platformach ARM64 i RISC-V używana jest zoptymalizowana wersja mnożenia punktu skalarnego, która nie działa w stałym czasie. Gałęzie warunkowe i odwołania do tablic zależą od bitów tajnego skalara, przez co czas wykonania i wzorzec dostępu do pamięci cache ujawniają informacje o kluczu prywatnym lub nonce podpisu.

Podatność w implementacji QUIC w OpenSSL pozwala zdalnemu atakującemu na utrzymywanie przydzielonej pamięci buforów pakietów przez długi czas, wysyłając specjalnie spreparowane pakiety. Problem wynika z braku limitów alokacji zasobów (CWE-770), co może prowadzić do nadmiernego zużycia pamięci.

Generyczne mnożenie skalarne na krzywych eliptycznych używane w operacjach podpisu ECDSA i SM2 dla krzywych bez dedykowanej implementacji ujawnia informacje o sekretnym nonce poprzez pomiar czasu. Atakujący mierzący czasy podpisywania może poznać nonce, co przy wielu podpisach może prowadzić do odzyskania klucza prywatnego.

Algorytm ponownego składania strumieni QUIC w OpenSSL ma pogarszającą się wydajność przy pakietach przychodzących poza kolejnością, osiągając złożoność kwadratową. Zdalny peer QUIC po ukończeniu uzgadniania może wywołać przeciążenie CPU i potencjalnie DoS przy niskim zużyciu pasma.

Serwer QUIC w OpenSSL, gdy wyłączona jest walidacja adresu klienta, może wielokrotnie zliczać odebrane datagramy w obliczeniach limitu kredytu niewalidowanego. Prowadzi to do naruszenia limitu amplifikacji 3x z RFC 9000, umożliwiając atakującemu wykorzystanie serwera do wzmocnienia ataku DDoS.

Certyfikat z wieloma punktami dystrybucji CRL typu nameRelativeToCRLIssuer powoduje nieproporcjonalny wzrost pamięci podczas cache'owania rozszerzeń X.509 w OpenSSL. Otrzymanie spreparowanego certyfikatu od złośliwego peera może prowadzić do znacznego obciążenia pamięci i potencjalnej odmowy usługi.

Podatność w OpenSSL dotyczy weryfikacji ochrony haseł w protokole CMP. Biblioteka sprawdza tylko, czy parametr protectionAlg nie jest pusty, ale nie weryfikuje jego typu ASN.1, co prowadzi do odwołania do nieprawidłowego wskaźnika. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę wadę do wywołania awarii aplikacji (Denial of Service).

Podatność w implementacji QUIC w OpenSSL pozwala zdalnemu atakującemu, który ukończy uzgadnianie QUIC, na wymuszenie niekontrolowanego wzrostu pamięci połączenia. Dzieje się tak, ponieważ stos QUIC przechowuje metadane pakietów ACK-only, nawet jeśli protokół nie wymaga ich potwierdzania. Przy ciągłym ruchu lub wielu równoczesnych połączeniach może to doprowadzić do wyczerpania pamięci i odmowy usługi (DoS).

OpenSSL Certificate Management Protocol (CMP) przechowuje dodatkowe certyfikaty (extraCerts) wysyłane w wiadomości CMP, ale nigdy ich nie usuwa (np. jeśli są nieprawidłowe). Jeśli serwer często używa tego samego OSSL_CMP_CTX, pamięć może rosnąć bez ograniczeń, a złośliwy klient może zalewać serwer CMP żądaniami, powodując niekontrolowany wzrost pamięci i potencjalnie warunki OOM.

Podatność w OpenSSL dotyczy funkcji CMS_decrypt() i polega na nieprawidłowym określeniu rozmiaru bufora wyjściowego podczas operacji rozpakowywania klucza (key unwrap). Atakujący może dostarczyć spreparowaną wiadomość CMS, która powoduje zapis 8 bajtów poza przydzielony obszar pamięci (heap overflow), co prowadzi do uszkodzenia sterty i typowo do odmowy usługi (DoS).

Podatność w OpenSSL dotyczy buforowania rekordów DTLS dla przyszłej epoki podczas trwania uzgadniania. Atakujący może wysłać małe sfałszowane rekordy, powodując zatrzymanie przez punkt końcowy około 1,7 MB pamięci na połączenie, co daje współczynnik amplifikacji pamięci około 1200. Może to prowadzić do zdalnego wyczerpania pamięci (Denial of Service) na serwerach DTLS.

Podwójne zwolnienie obiektu QRX w stosie QUIC serwera OpenSSL podczas nieudanego tworzenia kanału dla pakietu INITIAL. Błąd prowadzi do uszkodzenia sterty i zwykle kończy się zatrzymaniem procesu serwera QUIC (Denial of Service).

W konfiguracji serwera lub klienta z włączonymi surowymi kluczami publicznymi RFC7250 (RPK) i skonfigurowanym tylko kluczem prywatnym (bez certyfikatu), może wystąpić dereferencja wskaźnika NULL, gdy zdalny peer żąda surowych kluczy publicznych i wysyła zwykle pomijane rozszerzenie TLS "signature_algorithms_cert". Wpływ ogranicza się do możliwego ataku typu Denial of Service (przerwanie działania aplikacji), bez ujawnienia danych lub zdalnego wykonania kodu.

Podatność w implementacji QUIC serwera OpenSSL pozwala zdalnemu atakującemu na nieograniczone przydzielanie pamięci przez wysyłanie pakietów Initial z nieznanymi identyfikatorami połączeń. Brak limitu oczekujących połączeń może doprowadzić do wyczerpania pamięci i odmowy usługi (DoS). Problem występuje od wersji OpenSSL 3.5.

Złośliwy serwer TLS może spowodować wyciek pamięci w kliencie TLS, który włączył sprawdzanie odpowiedzi OCSP, wysyłając odpowiedź OCSP bez żadnych wpisów pojedynczych odpowiedzi. Atakujący może wyciec kontrolowaną ilość pamięci na każde uzgadnianie TLS, co przy długotrwałym połączeniu może doprowadzić do wyczerpania pamięci i odmowy usługi.

Podatność w OpenSSL podczas deszyfrowania CMS opartego na haśle (RFC 3211) pozwala atakującemu na wywołanie odczytu poza dozwolonym obszarem sterty. Atakujący może wybrać szyfr strumieniowy jako klucz szyfrujący KEK, co omija zabezpieczenia i prowadzi do odczytu poza przydzielonym buforem.

W ASN1_mbstring_ncopy() wykryto przepełnienie liczby całkowitej ze znakiem podczas obliczania rozmiaru bufora docelowego dla wyjścia Unicode. Może to prowadzić do przepełnienia sterty, potencjalnie umożliwiając wykonanie dowolnego kodu lub awarię.

Podatność use-after-free w OpenSSL podczas weryfikacji podpisów PKCS#7 lub S/MIME. Specjalnie spreparowana wiadomość może spowodować nieprawidłowe zwolnienie obiektu BIO, co prowadzi do awarii procesu, uszkodzenia sterty lub potencjalnie zdalnego wykonania kodu.

Implementacje AES-SIV i AES-GCM-SIV w OpenSSL nieprawidłowo obsługują uwierzytelnianie AAD przy pustym ciphertext, co umożliwia fałszerstwo takich wiadomości. Atakujący może wysłać dowolne AAD z pustym ciphertextem i zerowym tagiem, który zostanie uznany za poprawny.

Podatność w OpenSSL powoduje, że przy użyciu jednorazowego interfejsu EVP_Cipher() dla szyfru AES-OCB, dostarczony wektor inicjalizacyjny (IV) jest pomijany. Każda wiadomość szyfrowana tym samym kluczem używa tego samego efektywnego nonce, co prowadzi do utraty poufności i umożliwia fałszowanie uwierzytelnienia.

OpenSSL ma podatność na odczyt poza zakresem w funkcji X509_VERIFY_PARAM_set1_email podczas walidacji spreparowanego adresu e-mail, np. w weryfikacji S/MIME. Błąd w wewnętrznej funkcji pomocniczej powoduje, że limit 64 oktetów dla lokalnej części adresu e-mail nie jest egzekwowany, co może prowadzić do odczytu poza zakresem i potencjalnej awarii.

Podatność w OpenSSL dotyczy funkcji EVP_PKEY_derive_set_peer() przy użyciu klucza DHX (X9.42). Złośliwy peer może wykorzystać brak prawidłowego sprawdzenia przynależności do podgrupy, co prowadzi do wycieku klucza prywatnego ofiary po kilku próbach wymiany kluczy.

Błąd w funkcji wywołania zwrotnego używanej do weryfikacji certyfikatu w odpowiedzi na komunikat aktualizacji klucza głównego urzędu certyfikacji (Root CA) w protokole CMP sprawił, że walidacja certyfikatu była nieskuteczna. Może to prowadzić do eskalacji uprawnień z poziomu urzędu rejestracji (RA) do poziomu głównego urzędu certyfikacji (root CA).