Aviso de seguridad

Nivel de peligrosidad: Crítico

Descripción

Los problemas, rastreados como CVE-2022-3602 y CVE-2022-3786, se han descrito como vulnerabilidades de desbordamiento de búfer que pueden activarse durante la verificación de certificados X.509 mediante el suministro de una dirección de correo electrónico especialmente diseñada.

CVE-2022-3602, puede producirse un desbordamiento del búfer en la verificación de certificados X.509, concretamente en la comprobación de restricciones de nombres. Tenga en cuenta que esto ocurre después de la verificación de la firma de la cadena de certificados y requiere que una CA haya firmado el certificado malicioso o que la aplicación continúe con la verificación del certificado a pesar de no haber construido una ruta hacia un emisor de confianza. Un atacante puede crear una dirección de correo electrónico maliciosa para desbordar cuatro bytes controlados por el atacante en la pila. Este desbordamiento del búfer podría dar lugar a un fallo (causando una denegación de servicio) o potencialmente a la ejecución remota de código.

CVE-2022-3786, puede producirse un desbordamiento de búfer en la verificación de certificados X.509, concretamente en la comprobación de restricciones de nombres. Tenga en cuenta que esto ocurre después de la verificación de la firma de la cadena de certificados y requiere que una CA haya firmado un certificado malicioso o que una aplicación continúe con la verificación de certificados a pesar de no haber construido una ruta hacia un emisor de confianza. Un atacante puede crear una dirección de correo electrónico maliciosa en un certificado para desbordar un número arbitrario de bytes que contengan el carácter `.' (decimal 46) en la pila. Este desbordamiento del búfer podría dar lugar a un fallo (causando una denegación de servicio). En un cliente TLS, esto puede ser desencadenado por la conexión a un servidor malicioso. En un servidor TLS, esto puede desencadenarse si el servidor solicita la autenticación del cliente y un cliente malicioso se conecta.

Recursos afectados

• OpenSSL 3.0.0 hasta la versión OpenSSL 3.0.6.

Solución

Se debe actualizar a la versión OpenSSL 3.0.7.

Recomendaciones

Aunque ninguno de los problemas afecta a OpenSSL 1.0.2, también vale la pena señalar que la versión ha estado fuera de soporte desde el 1 de enero de 2020 y ya no recibe actualizaciones. Se recomienda a las aplicaciones que dependen de una versión vulnerable de OpenSSL que apliquen los parches para mitigar el riesgo asociado con las fallas.

Referencias

OpenSSl lanza parches para 2 vulnerabilidades de seguridad