股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
警惕！OpenSSL多個(gè)高危漏洞預(yù)警
發(fā)布時(shí)間 ：2022年05月17日
類型 ：勒索軟件
分享：
漏洞描述
近日，亞信安全CERT監(jiān)測發(fā)現(xiàn)OpenSSL存在多個(gè)高危漏洞，漏洞編號(hào)分別為CVE-2022-1292和CVE-2022-1473。
CVE-2022-1292為OpenSSL代碼執(zhí)行漏洞，漏洞源于c_rehash腳本沒有正確清理shell元字符以防止命令注入。該腳本由一些運(yùn)營商分發(fā)系統(tǒng)以自動(dòng)執(zhí)行的方式。在易受攻擊的操作系統(tǒng)中，攻擊者利用此漏洞可使用腳本的權(quán)限執(zhí)行任意命令。
CVE-2022-1473為OpenSSL拒絕服務(wù)漏洞，漏洞源于清空哈希表的OPENSSL_LH_flush()函數(shù)包含破壞已刪除哈希占用的內(nèi)存重用的錯(cuò)誤表?xiàng)l目。此功能在解碼證書或密鑰時(shí)使用，如果一個(gè)長期存在的進(jìn)程定期解碼證書或密鑰，它的內(nèi)存使用量將無限擴(kuò)大，并且該進(jìn)程可能會(huì)被操作系統(tǒng)終止，從而導(dǎo)致拒絕服務(wù)。攻擊者利用此漏洞可實(shí)施遠(yuǎn)程拒絕服務(wù)。
OpenSSL是一個(gè)開放源代碼的軟件庫包，應(yīng)用程序可以使用這個(gè)包來進(jìn)行安全通信，避免竊聽，同時(shí)確認(rèn)另一端連接者的身份。這個(gè)包廣泛被應(yīng)用在互聯(lián)網(wǎng)的網(wǎng)頁服務(wù)器上。作為一個(gè)基于密碼學(xué)的安全開發(fā)包，OpenSSL提供的功能相當(dāng)強(qiáng)大和全面，囊括了主要的密碼算法、常用的密鑰和證書封裝管理功能以及SSL協(xié)議，并提供了豐富的應(yīng)用程序供測試或其它目的使用。
漏洞編號(hào)
CVE-2022-1292
CVE-2022-1473
漏洞評分
CVE-2022-1292 9.0
CVE-2022-1473 8.0
漏洞狀態(tài)
漏洞細(xì)節(jié) | 漏洞PoC | 漏洞EXP | 在野利用 |
公開 | 未知 | 未知 | 未知 |
受影響的版本
CVE-2022-1292 OpenSSL代碼執(zhí)行漏洞
OpenSSL：1.0.2、1.1.1 和 3.0
CVE-2022-1473 OpenSSL拒絕服務(wù)漏洞
OpenSSL :3.0
修復(fù)建議
※CVE-2022-1292 OpenSSL代碼執(zhí)行漏洞
OpenSSL 1.0.2 用戶應(yīng)升級(jí)到 1.0.2ze（僅限高級(jí)支持客戶）
OpenSSL 1.1.1 用戶應(yīng)升級(jí)到 1.1.1o
OpenSSL 3.0 用戶應(yīng)升級(jí)到 3.0.3
下載地址：https://github.com/openssl/openssl/tags
※CVE-2022-1473 OpenSSL拒絕服務(wù)漏洞
OpenSSL 3.0 用戶應(yīng)升級(jí)到 3.0.3
下載地址：https://github.com/openssl/openssl/tags
參考鏈接
https://github.com/openssl/openssl/tags
https://www.openssl.org/news/secadv/20220503.txt
https://git.openssl.org/gitweb/p=openssl.git;a=commitdiff;h=1ad73b4d27bd8c1b369a3cd453681d3a4f1bb9b2
https://git.openssl.org/gitweb/p=openssl.git;a=commitdiff;h=548d3f280a6e737673f5b61fce24bb100108dfeb
分享到微信
X