【漏洞通告】OpenSSL 5月多個安全漏洞
發布時間 2022-05-160x00 漏洞概述
2022年5月3日，OpenSSL項目發布安全公告，修復了OpenSSL中的多個安全漏洞，這些漏洞可能導致命令執行和拒絕服務等。
0x01 漏洞詳情
OpenSSL是用于傳輸層安全 (TLS) 協議的強大、商業級、功能齊全的開源工具包，用于通用加密和安全通信。
本次修復的4個安全漏洞如下：
l CVE-2022-1292：OpenSSL命令注入漏洞 （中危）
由于c_rehash 腳本沒有正確清理 shell 元字符導致命令注入，可以利用該漏洞在未授權的情況下以腳本的權限執行任意命令。
l CVE-2022-1343：OpenSSL錯誤驗證響應簽名證書（中危）
由于OCSP_basic_verify函數在驗證某些簽名證書時存在錯誤，可利用該漏洞在未授權的情況下執行證書欺騙攻擊，最終導致非法響應簽名證書驗證成功。
l CVE-2022-1434：OpenSSL加密錯誤漏洞（低危）
由于RC4-MD5 密碼套件的 OpenSSL 3.0 實現錯誤地使用了AAD 數據作為 MAC 密鑰，這使得 MAC 密鑰可以被預測?？梢岳迷撀┒丛谖词跈嗟那闆r下執行中間人攻擊、修改通信數據等，但無法對數據進行解密。
l CVE-2022-1473：OpenSSL拒絕服務漏洞（低危）
用于清空哈希表的 OPENSSL_LH_flush() 函數存在錯誤，在解碼證書或密鑰時內存使用量將無限擴大，進程可能被系統終止，導致拒絕服務。
影響范圍
CVE-ID | 影響版本 | 修復版本 |
CVE-2022-1292 | OpenSSL 1.0.2-1.0.2zd OpenSSL 1.1.1-1.1.1n OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 1.0.2：升級至 1.0.2ze（僅限高級支持客戶） OpenSSL 1.1.1：升級至 1.1.1o OpenSSL 3.0 ：升級至 3.0.3 |
CVE-2022-1343 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升級到 3.0.3 |
CVE-2022-1434 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升級到 3.0.3 |
CVE-2022-1473 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升級到 3.0.3 |
0x02 處置建議
目前OpenSSL項目已經修復了這些漏洞，受影響的用戶可以參考上表及時更新到相應修復版本。
下載鏈接：
https://www.openssl.org/source/
0x03 參考鏈接
https://mta.openssl.org/pipermail/openssl-announce/2022-May/000224.html
https://nvd.nist.gov/vuln/detail/CVE-2022-1292
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2022-05-16 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內極具實力的、擁有完全自主知識產權的網絡安全產品、可信安全管理平臺、安全服務與解決方案的綜合提供商。
公司總部位于北京市中關村軟件園，在全國各省、市、自治區設有分支機構，擁有覆蓋全國的渠道體系和技術支持中心，并在北京、上海、成都、廣州、長沙、杭州等多地設有研發中心。
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號