Podatności OpenSSL

Funkcje CMS_decrypt i PKCS7_decrypt w OpenSSL są podatne na atak typu Bleichenbacher, gdy atakujący może dostarczyć wiadomości CMS lub S/MIME i obserwować kod błędu lub wynik deszyfrowania. Atak umożliwia wykorzystanie podatnej aplikacji ofiary do deszyfrowania lub podpisywania wiadomości z użyciem jej prywatnego klucza RSA.

W OpenSSL występuje podatność na dereferencję wskaźnika NULL w kliencie CMP. Atakujący kontrolujący serwer CMP (lub działający jako man-in-the-middle) może wysłać odpowiedź CMP zawierającą CRMF CertRepMessage z EncryptedValue, gdzie pole symmAlg ma OID algorytmu, ale brakuje parametrów. Przetworzenie takiej odpowiedzi przez klienta OpenSSL CMP powoduje dereferencję NULL i awarię (DoS). Nie dotyczy modułów FIPS.

OpenSSL przed wersją (nieokreśloną) zawiera podatność na dereferencję wskaźnika NULL podczas deszyfrowania CMS chronionego hasłem. Specjalnie spreparowana wiadomość CMS może spowodować awarię aplikacji i odmowę usługi (DoS).

W OpenSSL występuje podatność na wyłuskanie wskaźnika NULL podczas weryfikacji certyfikatów z włączonym sprawdzaniem OCSP dla całego łańcucha (X509_V_FLAG_OCSP_RESP_CHECK_ALL) i weryfikacją częściowego łańcucha (X509_V_FLAG_PARTIAL_CHAIN). Gdy łańcuch nie zawiera samopodpisanego zaufanego certyfikatu głównego, następuje odwołanie do NULL i awaria procesu.

Podatność w OpenSSL QUIC serwerze. Otrzymanie początkowego pakietu QUIC z nieprawidłowym tokenem może wywołać dereferencję wskaźnika NULL, gdy walidacja adresu jest wyłączona. Powoduje to awarię procesu serwera QUIC i odmowę usługi. Domyślnie walidacja adresu jest włączona, więc domyślna konfiguracja nie jest podatna.

OpenSSL jest podatny na podwójne zwolnienie pamięci (double-free) podczas weryfikacji certyfikatu klienta, gdy używane jest OCSP stapling. Złośliwy serwer może dostarczyć spreparowaną odpowiedź OCSP, co prowadzi do uszkodzenia pamięci sterty.

Zdalny peer może wyczerpać pamięć sterty serwera lub klienta QUIC, zalewając go pakietami zawierającymi ramki PATH_CHALLENGE. Lokalny stos QUIC alokuje ramkę PATH_RESPONSE dla każdego PATH_CHALLENGE, która jest zwalniana dopiero po potwierdzeniu przez zdalnego peera – złośliwy peer nie potwierdza, co prowadzi do nieograniczonej alokacji pamięci i odmowy usługi. Moduły FIPS nie są dotknięte.

Przetwarzanie plików PKCS#12 w OpenSSL nie przeprowadza wystarczającej walidacji dla plików używających mechanizmu integralności PBMAC1, co umożliwia fałszerstwo certyfikatów i kluczy prywatnych. Atakujący podszywający się pod użytkownika może spowodować, że usługa odczytująca pliki PKCS#12 zaakceptuje sfałszowane certyfikaty z prawdopodobieństwem 1 na 256.

Podatność w parserze ASN.1 biblioteki OpenSSL powoduje przepełnienie bufora sterty podczas przetwarzania spreparowanych struktur DER, gdy długość elementu pierwotnego przekracza 2 GB. Problem dotyczy 64-bitowych systemów Unix i pochodnych.

Podatność w OpenSSL związana z RSASVE, gdzie nieudane szyfrowanie RSA może zwrócić sukces, pozostawiając niezainicjalizowany bufor. Atakujący może wykorzystać to do wycieku wrażliwych danych z poprzednich operacji procesu.

Podatność w OpenSSL podczas przetwarzania spreparowanej wiadomości CMS EnvelopedData z KeyTransportRecipientInfo. Brak sprawdzenia obecności opcjonalnego pola parametrów w RSA-OAEP prowadzi do dereferencji wskaźnika NULL i awarii.

Podatność w OpenSSL podczas przetwarzania spreparowanej wiadomości CMS EnvelopedData z KeyAgreeRecipientInfo. Brak sprawdzenia obecności opcjonalnego pola parametrów w KeyEncryptionAlgorithmIdentifier prowadzi do dereferencji wskaźnika NULL i awarii.

Podatność w OpenSSL podczas przetwarzania delta CRL z rozszerzeniem Delta CRL Indicator. Brak sprawdzenia obecności rozszerzenia CRL Number prowadzi do dereferencji wskaźnika NULL, co może spowodować awarię aplikacji.

W rzadkiej konfiguracji klientów używających uwierzytelniania serwera opartego na DANE TLSA, w połączeniu z nietypowymi rekordami TLSA serwera, może wystąpić use-after-free i/lub double-free po stronie klienta. Podatność dotyczy tylko klientów obsługujących rekordy TLSA z certyfikatami PKIX-TA(0)/PKIX-EE(1) oraz DANE-TA(2). Klienci SMTP zgodni z RFC7672 nie są podatni.

Podatność w OpenSSL dotycząca odczytu poza zakresem przy szyfrowaniu/deszyfrowaniu AES-CFB128 na systemach z AVX-512 i VAES. Może prowadzić do awarii aplikacji (DoS) przy spełnieniu określonych warunków.

Wysoko uprawniony zdalny atakujący może wpływać na parametry przekazywane do polecenia openssl z powodu niewłaściwej neutralizacji znaków specjalnych podczas dodawania certyfikatu samopodpisanego chronionego hasłem.

Podatność w kliencie HTTP OpenSSL powoduje odczyt poza zakresem, gdy zmienna środowiskowa 'no_proxy' jest ustawiona, a host w URL-u jest adresem IPv6. Może to prowadzić do awarii aplikacji i odmowy usługi (DoS).

W implementacji algorytmu SM2 na 64-bitowych platformach ARM wykryto podatność na atak typu timing side-channel, który może potencjalnie umożliwić zdalne odzyskanie klucza prywatnego. Podatność ta nie dotyczy standardowych konfiguracji TLS w OpenSSL, ale może być wykorzystana w niestandardowych scenariuszach z użyciem certyfikatów SM2.

Podatność w OpenSSL podczas deszyfrowania wiadomości CMS chronionych hasłem (PWRI) może prowadzić do odczytu i zapisu poza dozwolonym obszarem pamięci. Błąd występuje w implementacji CMS, która rzadko używa szyfrowania opartego na haśle.

W OpenSSL wykryto błąd w obsłudze argumentu właściwości w wybranych funkcjach. Podatność umożliwia wykorzystanie use-after-free, co może prowadzić do nieokreślonego zachowania lub nieprawidłowego parsowania właściwości, w wyniku czego OpenSSL traktuje dane wejściowe jako pusty ciąg znaków.

Sprawdzanie nadmiernie długich nieprawidłowych kluczy publicznych RSA może zająć dużo czasu. Aplikacje używające funkcji EVP_PKEY_public_check() do sprawdzania kluczy RSA mogą doświadczyć długich opóźnień, co w przypadku kluczy z niezaufanego źródła może prowadzić do ataku typu Denial of Service.

Przetwarzanie złośliwie sformatowanego pliku PKCS12 może spowodować awarię OpenSSL, prowadząc do ataku typu Denial of Service. Aplikacje ładujące pliki PKCS12 z niezaufanych źródeł mogą zostać nagle zakończone z powodu dereferencji wskaźnika NULL.

Implementacja algorytmu POLY1305 MAC w OpenSSL na procesorach PowerPC przywraca zawartość rejestrów wektorowych w innej kolejności niż je zapisano, co prowadzi do uszkodzenia ich zawartości. Problem dotyczy wyłącznie nowszych procesorów PowerPC obsługujących instrukcje PowerISA 2.07. Algorytm POLY1305 jest najczęściej używany w szyfrze CHACHA20-POLY1305 AEAD, typowo w protokołach TLS 1.2 i 1.3.

Implementacja POLY1305 MAC w OpenSSL na platformie Windows 64-bit nie zachowuje zawartości niestabilnych rejestrów XMM przy obliczaniu MAC dla danych większych niż 64 bajty, gdy używane są nowsze procesory x86_64 z instrukcjami AVX512-IFMA. Rejestry są zerowane zamiast przywracane, co może uszkodzić stan wewnętrzny aplikacji. Podatność dotyczy tylko Windows 64-bit i nowych procesorów z AVX512-IFMA.

Funkcja X509_VERIFY_PARAM_add0_policy() w OpenSSL jest udokumentowana jako włączająca sprawdzanie polityk certyfikatów, ale w rzeczywistości tego nie robi. W efekcie certyfikaty z nieprawidłowymi politykami mogą przejść weryfikację.

Aplikacje używające niestandardowej opcji weryfikacji certyfikatów w OpenSSL mogą być podatne na atak ze strony złośliwego CA. Nieprawidłowe polityki certyfikatów w certyfikatach liści są po cichu ignorowane, co pozwala złośliwemu CA obejść sprawdzanie polityk.

Funkcja OPENSSL_LH_flush() w OpenSSL, która opróżnia tablicę mieszającą, zawiera błąd uniemożliwiający ponowne wykorzystanie pamięci zajmowanej przez usunięte wpisy. Funkcja jest używana podczas dekodowania certyfikatów lub kluczy. Jeśli długo działający proces okresowo dekoduje certyfikaty lub klucze, jego zużycie pamięci rośnie bez ograniczeń, co może doprowadzić do zakończenia procesu przez system operacyjny i odmowy usługi. Dodatkowo przeglądanie pustych wpisów tablicy mieszającej zajmuje coraz więcej czasu. Podatność dotyczy OpenSSL 3.0.0, 3.0.1 i 3.0.2; została naprawiona w wersji 3.0.3.

Implementacja szyfru RC4-MD5 w OpenSSL 3.0 niepoprawnie używa danych AAD jako klucza MAC, co czyni ten klucz łatwym do przewidzenia. Atakujący w ataku man-in-the-middle może modyfikować przesyłane dane w taki sposób, że nadal przejdą one weryfikację integralności MAC. Problem dotyczy tylko OpenSSL 3.0.0–3.0.2 i został naprawiony w wersji 3.0.3.

Funkcja OCSP_basic_verify w OpenSSL może zwrócić wynik pozytywny (sukces weryfikacji) mimo że certyfikat podpisujący odpowiedź OCSP nie przeszedł weryfikacji, gdy użyta zostanie flaga OCSP_NOCHECKS. Problem dotyczy również narzędzia wiersza poleceń "ocsp" z opcją "-no_cert_checks", które raportuje sukces mimo faktycznej porażki weryfikacji. Podatność naprawiono w OpenSSL 3.0.3 (dotyczy wersji 3.0.0, 3.0.1, 3.0.2).

W sytuacjach, gdy atakujący otrzymuje automatyczne powiadomienie o sukcesie lub porażce próby deszyfrowania, po wysłaniu bardzo dużej liczby wiadomości do odszyfrowania może odzyskać klucz szyfrowania transportowanego CMS/PKCS7 lub odszyfrować dowolną wiadomość zaszyfrowaną RSA, która została zaszyfrowana publicznym kluczem RSA, używając ataku padding oracle Bleichenbachera. Aplikacje nie są dotknięte, jeśli używają certyfikatu wraz z prywatnym kluczem RSA do funkcji CMS_decrypt lub PKCS7_decrypt, aby wybrać właściwe informacje o odbiorcy do odszyfrowania. Naprawione w OpenSSL 1.1.1d (dotknięte 1.1.1-1.1.1c). Naprawione w OpenSSL 1.1.0l (dotknięte 1.1.0-1.1.0k). Naprawione w OpenSSL 1.0.2t (dotknięte 1.0.2-1.0.2s).

OpenSSL ma wewnętrzne domyślne ścieżki katalogu OPENSSLDIR, w którym szuka pliku konfiguracyjnego i certyfikatów do weryfikacji TLS. W wersjach 1.1.0 i 1.1.1 cele kompilacji mingw zakładają instalację w środowisku uniksopodobnym z prefiksem '/usr/local', co na Windows prowadzi do katalogu 'C:/usr/local', który może być zapisywalny dla wszystkich, umożliwiając niezaufanym użytkownikom modyfikację konfiguracji, wstawianie certyfikatów CA lub podmianę modułów engine.