Αναγνώστες σαν εσάς βοηθούν στην υποστήριξη του MUO. Όταν κάνετε μια αγορά χρησιμοποιώντας συνδέσμους στον ιστότοπό μας, ενδέχεται να κερδίσουμε μια προμήθεια θυγατρικών.
Την τελευταία εβδομάδα του Οκτωβρίου 2022, το OpenSSL Project αποκάλυψε δύο ευπάθειες που βρέθηκαν στη βιβλιοθήκη OpenSSL. Τόσο το CVE-2022-360 όσο και το CVE-2022-3786 έχουν χαρακτηριστεί ζητήματα "Υψηλής" σοβαρότητας με βαθμολογία CVSS 8,8, μόλις 0,2 μονάδες χαμηλότερη από αυτή που θα χρειαζόταν για να θεωρηθούν "Κρίσιμη".
Το ζήτημα έγκειται στη διαδικασία επαλήθευσης των πιστοποιητικών που εκτελεί το OpenSSL για έλεγχο ταυτότητας που βασίζεται σε πιστοποιητικά. Η εκμετάλλευση των τρωτών σημείων θα μπορούσε να επιτρέψει σε έναν εισβολέα να ξεκινήσει μια επίθεση άρνησης υπηρεσίας (DoS) ή ακόμη και μια επίθεση απομακρυσμένης εκτέλεσης κώδικα. Οι ενημερώσεις κώδικα για τις δύο αδυναμίες που βρέθηκαν στο OpenSSL v3.0.0 έως v3.06 έχουν πλέον κυκλοφορήσει.
Τι είναι το OpenSSL;
Το OpenSSL είναι ένα ευρέως χρησιμοποιούμενο βοηθητικό πρόγραμμα γραμμής εντολών κρυπτογράφησης ανοιχτού κώδικα που εφαρμόζεται για να διατηρεί ασφαλή την ανταλλαγή κίνησης ιστού μεταξύ πελάτη και διακομιστή. Χρησιμοποιείται για τη δημιουργία δημόσιων και ιδιωτικών κλειδιών, την εγκατάσταση πιστοποιητικών SSL/TLS, την επαλήθευση πληροφοριών πιστοποιητικού και την παροχή κρυπτογράφησης.
Το ζήτημα ήρθε στο φως στις 17 Οκτωβρίου 2022 όταν η Polar Bear αποκάλυψε δύο ευπάθειες υψηλού επιπέδου που βρέθηκαν στην έκδοση OpenSSL 3.0.0 έως 3.0.6 στο OpenSSL Project. Τα τρωτά σημεία είναι CVE-2022-3602 & CVE-2022-3786.
Στις 25 Οκτωβρίου 2022, τα νέα για τα τρωτά σημεία ήρθαν στο διαδίκτυο. Ο Mark Cox, Μηχανικός Λογισμικού της Red Hat και Αντιπρόεδρος Ασφάλειας του Apache Software Foundation, έκανε την είδηση με ένα tweet.
Πώς μπορεί ένας εισβολέας να εκμεταλλευτεί αυτά τα τρωτά σημεία;
Το ζεύγος ευπάθειας CVE-2022-3602 και CVE-2022-3786 είναι επιρρεπές σε επίθεση υπερχείλισης buffer η οποία είναι μια επίθεση στον κυβερνοχώρο κατά την οποία γίνεται κατάχρηση του περιεχομένου της μνήμης διακομιστή για την αποκάλυψη πληροφοριών χρήστη και ιδιωτικών κλειδιών διακομιστή ή εκτέλεση απομακρυσμένης εκτέλεσης κώδικα.
CVE-2022-3602
Αυτή η ευπάθεια επιτρέπει σε έναν εισβολέα να εκμεταλλευτεί την υπέρβαση του buffer κατά την επαλήθευση πιστοποιητικού X.509 στον έλεγχο περιορισμών ονόματος. Αυτό συμβαίνει μετά την επαλήθευση της αλυσίδας πιστοποιητικών και απαιτεί μια υπογραφή CA στο κακόβουλο πιστοποιητικό ή η επαλήθευση πιστοποιητικού για να συνεχιστεί παρά την αποτυχία αντιστοίχισης σε έναν αξιόπιστο εκδότη.
Ένας εισβολέας μπορεί να ενσωματώσει ένα σύστημα phishing όπως η δημιουργία μιας κατασκευασμένης διεύθυνσης email για να ξεχειλίσει τέσσερα byte στη στοίβα. Αυτό μπορεί να οδηγήσει σε επίθεση Denial-of-Service (DoS) κατά την οποία η υπηρεσία δεν είναι διαθέσιμη μετά τη διακοπή λειτουργίας, ή ο εισβολέας μπορεί να εκτελέσει απομακρυσμένη εκτέλεση κώδικα, που σημαίνει ότι ένας κώδικας εκτελείται εξ αποστάσεως για τον έλεγχο της εφαρμογής υπηρέτης.
Αυτή η ευπάθεια μπορεί να ενεργοποιηθεί εάν ένας αυθεντικός πελάτης TLS συνδεθεί σε έναν κακόβουλο διακομιστή ή εάν ένας αυθεντικός διακομιστής TLS συνδεθεί με έναν κακόβουλο πελάτη.
CVE-2022-3786
Αυτή η ευπάθεια γίνεται αντικείμενο εκμετάλλευσης όπως το CVE-2022-3602. Η μόνη διαφορά είναι ότι ένας εισβολέας δημιουργεί μια κακόβουλη διεύθυνση email για να ξεχειλίσει έναν αυθαίρετο αριθμό byte που περιέχουν το "." χαρακτήρας (δεκαδικός 46). Ωστόσο, στο CVE-2022-3602, μόνο τέσσερα byte που ελέγχονται από τον εισβολέα γίνονται αντικείμενο εκμετάλλευσης.
Αναδρομή στο Notorious "Heartbleed" Vulnerability
Το 2016, ένα παρόμοιο ζήτημα ανακαλύφθηκε στο OpenSSL στο οποίο δόθηκε βαθμολογία σοβαρότητας "Κρίσιμη". Αυτό ήταν ένα σφάλμα χειρισμού μνήμης που επέτρεπε στους εισβολείς να παραβιάσουν μυστικά κλειδιά, κωδικούς πρόσβασης και άλλες ευαίσθητες πληροφορίες σε ευάλωτους διακομιστές. Το διαβόητο σφάλμα είναι γνωστό ως Heartbleed (CVE-2014-0160) και μέχρι σήμερα, πάνω από 200.000 μηχανές θεωρούνται ευάλωτες σε αυτή την αδυναμία.
Τι είναι η Διόρθωση;
Στον σημερινό κόσμο που γνωρίζει την ασφάλεια στον κυβερνοχώρο, πολλές πλατφόρμες εφαρμόζουν προστασία υπερχείλισης στοίβας για να κρατούν μακριά τους επιτιθέμενους. Αυτό παρέχει τον απαραίτητο μετριασμό έναντι της υπερχείλισης του buffer.
Ο περαιτέρω μετριασμός αυτών των τρωτών σημείων περιλαμβάνει την αναβάθμιση στην πιο πρόσφατη έκδοση του OpenSSL. Καθώς το OpenSSL v3.0.0 σε v3.0.6 είναι ευάλωτο, συνιστάται να κάνετε αναβάθμιση σε OpenSSL v3.0.7. Ωστόσο, εάν χρησιμοποιείτε OpenSSL v1.1.1 και v1.0.2, μπορείτε να συνεχίσετε να χρησιμοποιείτε αυτές τις εκδόσεις καθώς δεν επηρεάζονται από τις δύο τρωτά σημεία.
Τα δύο τρωτά σημεία είναι δύσκολο να αξιοποιηθούν
Οι πιθανότητες κατάχρησης αυτών των τρωτών σημείων είναι μικρές, επειδή μία από τις προϋποθέσεις είναι ένα πιστοποιητικό με λανθασμένη μορφή, υπογεγραμμένο από αξιόπιστη αρχή έκδοσης πιστοποιητικών. Λόγω του συνεχώς αυξανόμενου τοπίου επιθέσεων, τα περισσότερα σύγχρονα συστήματα φροντίζουν να εφαρμόζουν ενσωματωμένους μηχανισμούς ασφαλείας για την αποφυγή αυτού του τύπου επιθέσεων.
Η κυβερνοασφάλεια είναι μια αναγκαιότητα στον σημερινό κόσμο, με ενσωματωμένους και προηγμένους μηχανισμούς προστασίας, τέτοια τρωτά σημεία είναι δύσκολο να αξιοποιηθούν. Χάρη στις ενημερώσεις ασφαλείας που κυκλοφόρησε εγκαίρως το OpenSSL, δεν χρειάζεται να ανησυχείτε για αυτά τα τρωτά σημεία. Απλώς λάβετε τα απαραίτητα μέτρα, όπως επιδιόρθωση του συστήματός σας και εφαρμογή καλών επιπέδων ασφάλειας, και θα είστε ασφαλείς στη χρήση του OpenSSL.
