https://www.informationsecurity.com.tw/seminar/2024_Business/
https://www.informationsecurity.com.tw/seminar/2024_Business/

新聞

OpenSSL 修復兩個高危險漏洞

2022 / 11 / 03
編輯部
OpenSSL 修復兩個高危險漏洞
OpenSSL 修補了其用於加密通信通道和 HTTPS 連接的開源密碼庫中兩個高危險漏洞:CVE-2022-3602 和 CVE-2022-3786,主要影響 OpenSSL 3.0.0 及更高版本,現已在 OpenSSL 3.0.7 中得到解決。

據了解,CVE-2022-3602 是一個任意 4 位元組堆疊緩衝區溢位漏洞,可能導致拒絕服務或遠端程式碼執行。CVE-2022-3786 可以讓攻擊者透過惡意電子郵寄地址利用,藉由緩衝區溢位觸發拒絕服務狀態。

OpenSSL 團隊表示,雖然目前沒有證據表明這兩個漏洞已經被利用,但鑒於其具有很高的危險性,希望受影響用戶儘快安裝更新升級補丁,以免遭受網路威脅。此外,OpenSSL 還提供了一些其它緩解措施,例如直到應用新補丁前,要求操作 TLS 伺服器的管理員禁用 TLS 用戶端認證。

CVE-2022-3602 漏洞危險指數下降

值得一提的是,OpenSSL 最初發佈的漏洞警告促使了管理員立即採取行動緩解漏洞,但之後鑒於 CVE-2022-3602 已被降級為高度嚴重,況且它只影響 OpenSSL 3.0 及更高版本,另外與 OpenSSL 密碼庫早期版本相比,最近發佈的版本也尚未大量部署到生產中使用的軟體上,因此造成的實際影響可能很有限。

儘管一些安全專家和供應商將此漏洞的危險性等同於 Apache Log4Shell 漏洞,但在Censys 線上發現的 1793000 多個主機中,只有大約 7000個暴露在網路上的系統運行易受攻擊的OpenSSL 版本,Shodan 也列出了大約 16000 個可公開訪問的 OpenSSL 實例。

此外,雲安全公司 Wiz.io 也表示,在分析了主要雲環境(AWS、GCP、Azure、OCI和阿里雲)中的部署後,發現只有 1.5% 的 OpenSSL 實例受到這一安全性漏洞的影響。
 

最新的 OpenSSL 版本包含在多個流行的 Linux 發行版本中,其中 Redhat Enterprise Linux 9、Ubuntu 22.04+、CentOS Stream9、Kali 2022.3、Debian 12 和 Fedora 36 被 Akamai標記為有漏洞,荷蘭國家網路安全中心目前也正在確認受 CVE-2022-3602 漏洞影響的軟體產品清單。

本文轉載自Bleepingcomputer.com。