Schnelle Links
**Aktualisierungen**
2022-11-01
Details zu zwei hochgradig gefährlichen Schwachstellen, die in OpenSSL Version 3.0.7 gepatcht wurden, sind jetzt verfügbar(CVE-2022-3786, CVE-2022-3602). Bei beiden handelt es sich um Pufferüberläufe im X.509-Zertifikatsüberprüfungsprozess, "insbesondere bei der Überprüfung von Namensbeschränkungen ".
Die erste, CVE-2022-3786, erlaubt es einem Angreifer, "eine bösartige E-Mail-Adresse in einem Zertifikat so zu manipulieren, dass eine beliebige Anzahl von Bytes, die das Zeichen `.` enthalten, überläuft." Die zweite, CVE-2022-3602, ist ähnlich, aber in diesem Fall könnte ein Bedrohungsakteur "eine bösartige E-Mail erstellen, um vier vom Angreifer kontrollierte Bytes auf dem Stapel zum Überlaufen zu bringen". Dies könnte zu einer Dienstverweigerung oder Remotecodeausführung führen.
Obwohl sowohl OpenSSL-Server als auch -Clients für diesen Angriff anfällig sind, ist es wahrscheinlicher, dass ein Angreifer einen Client ausnutzt als dass ein Client einen Server ausnutzt. Bei Servern, die mit bidirektionaler Authentifizierung konfiguriert sind, bei der beide Seiten der Verbindung Zertifikate austauschen und überprüfen, ist es jedoch möglich, dass ein Client einen Server ausnutzen kann, indem er ein bösartiges oder fehlerhaftes Zertifikat sendet.
Und obwohl diese Art von Setup selten ist, ist es nicht ausgeschlossen. Aber selbst bei einem erfolgreichen Angriff kommen viele andere Variablen ins Spiel, z. B. Anti-Buffer-Overflow-Systeme wie Stack Canaries und ASLR (Address Space Layout Randomization), um eine Ausnutzung zu vereiteln.
Aufgrund dieser Komplexität und Systemschutzmaßnahmen haben die OpenSSL-Entwickler die Kritikalität des CVE von KRITISCH auf HOCH herabgesetzt.
Wenn Sie die OpenSSL-Versionen 3.0.0-3.0.6 verwenden, empfehlen wir ein Upgrade auf die neueste Version von OpenSSL (derzeit 3.0.7) , um Sie vor möglichen Angriffen zu schützen.
Einführung
OpenSSL ist eine Softwarebibliothek, die es Anwendungen ermöglicht, sicher mit anderen vernetzten Anwendungen zu kommunizieren und dabei eine Vielzahl von kryptographischen Funktionen zu nutzen. Diese Bibliothek ist im Internet weit verbreitet und stellt einen wichtigen Teil der Infrastruktur vieler Unternehmen dar. Vor diesem Hintergrund hat das OpenSSL-Team alle Benutzer gewarnt, dass am vergangenen Dienstag eine kritische Sicherheitslücke in der OpenSSL-Codebasis entdeckt wurde. Das ist eine ziemlich große Sache, denn das letzte Mal, dass wir einen Fehler von diesem kritischen Ausmaß hatten, war 2014 mit der inzwischen berüchtigten Heartbleed-Schwachstelle(CVE-2014-0160), die uns noch heute verfolgt.
Wir haben zwar keine genauen Angaben zu dieser Schwachstelle, aber mehrere Quellen haben behauptet, dass die Schwachstelle nur OpenSSL Version 3.0.0 und höher betrifft (Software, die OpenSSL 1.0.2 oder 1.1.1 verwendet, ist nicht betroffen). Der 3.x-Baum ist eine relativ neue Ergänzung der OpenSSL-Reihe, die im September 2021 veröffentlicht wurde. Da diese Version erst seit kurzer Zeit auf dem Markt ist, scheint die Verbreitung gering gewesen zu sein. Sobald diese Sicherheitslücke öffentlich bekannt wird und neue Versionen veröffentlicht werden, sollten Administratoren, die Version 3.0.0 oder höher einsetzen, sofort auf die behobene Version 3.0.7 aktualisieren.
Identifizierung anfälliger Versionen von OpenSSL
Die Feststellung, ob ein Host für diesen noch nicht veröffentlichten Fehler anfällig ist, ist noch unklar, da wir nicht alle Details kennen. Wir können uns jedoch Dienste im Internet ansehen, die angeben, welche spezifische Version von OpenSSL sie verwenden, um eine allgemeine Vorstellung davon zu bekommen, was anfällig ist . Wir kennen derzeit keine andere Technik als die Überprüfung von HTTP-Headern, um die genaue Version von OpenSSL zu bestimmen, aber wir untersuchen noch Alternativen. Das bedeutet, dass wir zwar viele potenziell anfällige Server sehen können, aber nicht alle kennen, und die Statistiken in diesem Beitrag sind die untere Grenze dessen, was existiert.
Glücklicherweise bieten einige Internetserver, wie z. B. Apache, Informationen, die uns Aufschluss darüber geben, welche spezifischen Versionen von OpenSSL verwendet werden. In der folgenden Ausgabe sehen wir zum Beispiel, dass der Apache alle seine geladenen Module in die Ausgabe des "Server"-Headers eingefügt hat. Eine davon ist die Version von OpenSSL, gegen die das Modul mod_ssl kompiliert wurde:
