OpenSSL 漏洞修補程式已發佈

2022年11月1日，OpenSSL 項目團隊宣布，已針對 OpenSSL 庫 3.x 版本中發現的一個高危安全漏洞發佈修補程式。

OpenSSL 是一款加密軟件庫，提供 SSL/TLS 協議的開源實現，被互聯網上數量龐大的應用程式、操作系統和設備使用。因此該漏洞的影響範圍極廣，相關方必須立即完成更新。

本次漏洞對 Sectigo 證書無任何影響，所有 Sectigo 證書均無需吊銷或更換。

漏洞修補程式詳情

該修補程式修復了 OpenSSL 3.0.0 至 3.0.6 版本中存在的兩個缺陷。兩個缺陷均與國際化域名（非 ASCII 字符）處理相關，可被數碼證書中經過特殊構造的惡意電郵地址觸發。需要注意的是，該漏洞的嚴重等級已從「嚴重」下調至「高危」，但用戶仍必須在當日完成更新。

根據 OpenSSL 官方資訊，缺陷的具體詳情包括：

• CVE-2022-3786（X.509 電子郵件地址可變長度緩衝區溢出）：在X.509 證書驗證過程中可觸發緩衝區溢出，具體出現在名稱約束檢查環節。該問題發生在證書鏈簽名驗證完成之後，觸發條件為：要麼證書頒發機構（CA）簽發了惡意證書，要麼應用在未能構建到可信頒發者的證書路徑時仍繼續執行證書驗證。攻擊者可在證書中構造惡意電郵地址，在棧上溢出任意數量包含「.」字符（十進制 ASCII 碼 46）的字節。該緩衝區溢出可能導致程式崩潰（引發拒絕服務）。
• CVE-2022-3602（X.509 電子郵件地址 4 字節緩衝區溢出）：在 X.509 證書驗證過程中可觸發緩衝區溢出，具體出現在名稱約束檢查環節。該問題發生在證書鏈簽名驗證完成之後，觸發條件為：要麼證書頒發機構（CA）簽發了惡意證書，要麼應用在未能構建到可信頒發者的證書路徑時仍繼續執行證書驗證。攻擊者可構造惡意電郵地址，在棧上溢出 4 個由攻擊者控制的字節。該緩衝區溢出可能導致程式崩潰（引發拒絕服務），甚至可能造成遠程代碼執行。

以上兩個漏洞均已在 OpenSSL 3.0.7 版本中修復。完整詳情請查看此處，並閱讀OpenSSL 官方網誌文章.

使用 OpenSSL 3.0.0 至 3.0.6 版本的企業必須立即更新系統，因為這些高危漏洞極有可能很快成為攻擊目標。請確保貴機構內部的網絡安全團隊得悉有關漏洞，並準備好於當日部署 OpenSSL 修補程式。

你亦可收聽以下節目，了解更多關於該漏洞的資訊：《根本原因253：OpenSSL 漏洞解析》.