安全通告
OpenSSL 5月多個安全漏洞風(fēng)險通告
發(fā)布日期：2022-5-17
?
漏洞描述
OpenSSL項目發(fā)布安全公告，修復(fù)了OpenSSL中的多個安全漏洞，這些漏洞可能導(dǎo)致命令執(zhí)行和拒絕服務(wù)等。
OpenSSL是用于傳輸層安全 (TLS) 協(xié)議的強(qiáng)大、商業(yè)級、功能齊全的開源工具包，用于通用加密和安全通信。
漏洞編號
CVE-2022-1292
CVE-2022-1343
CVE-2022-1434
CVE-2022-1473
漏洞危害
CVE-2022-1292
由于c_rehash 腳本沒有正確清理 shell 元字符導(dǎo)致命令注入，可以利用該漏洞在未授權(quán)的情況下以腳本的權(quán)限執(zhí)行任意命令。
CVE-2022-1343
由于OCSP_basic_verify函數(shù)在驗證某些簽名證書時存在錯誤，可利用該漏洞在未授權(quán)的情況下執(zhí)行證書欺騙攻擊，最終導(dǎo)致非法響應(yīng)簽名證書驗證成功。
CVE-2022-1434
由于RC4-MD5 密碼套件的 OpenSSL 3.0 實現(xiàn)錯誤地使用了AAD 數(shù)據(jù)作為 MAC 密鑰，這使得 MAC 密鑰可以被預(yù)測?？梢岳迷撀┒丛谖词跈?quán)的情況下執(zhí)行中間人攻擊、修改通信數(shù)據(jù)等，但無法對數(shù)據(jù)進(jìn)行解密。
CVE-2022-1473
用于清空哈希表的 OPENSSL_LH_flush() 函數(shù)存在錯誤，在解碼證書或密鑰時內(nèi)存使用量將無限擴(kuò)大，進(jìn)程可能被系統(tǒng)終止，導(dǎo)致拒絕服務(wù)。
漏洞等級
CVE-2022-1292：OpenSSL命令注入漏洞（中危）
CVE-2022-1343：OpenSSL錯誤驗證響應(yīng)簽名證書（中危）
CVE-2022-1434：OpenSSL加密錯誤漏洞（低危）
CVE-2022-1473：OpenSSL拒絕服務(wù)漏洞（低危）
?
?
?
?
受影響版本
| CVE-ID | 影響版本 | 修復(fù)版本 |
| CVE-2022-1292 | OpenSSL 1.0.2-1.0.2zd
OpenSSL 1.1.1-1.1.1n OpenSSL 3.0.0、3.0.1、3.0.2 |
OpenSSL 1.0.2：升級至 1.0.2ze（僅限高級支持客戶）
OpenSSL 1.1.1：升級至 1.1.1o OpenSSL 3.0?：升級至 3.0.3 |
| CVE-2022-1343 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0?：升級到 3.0.3 |
| CVE-2022-1434 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0?：升級到 3.0.3 |
| CVE-2022-1473 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0?：升級到 3.0.3 |
修復(fù)方案
目前OpenSSL項目已經(jīng)修復(fù)了這些漏洞，受影響的用戶可以參考上表及時更新到相應(yīng)修復(fù)版本。
下載鏈接：
https://www.openssl.org/source/
參考鏈接
1、https://mta.openssl.org/pipermail/openssl-announce/2022-May/000224.html
2、https://nvd.nist.gov/vuln/detail/CVE-2022-1292