遠端 CentOS Linux 9 主機上安裝的套件受到 openssl-3.0.7-18.el9 版本變更記錄中提及的多個弱點影響。

  - OpenSSL 中的 libssl 透過從內部呼叫用戶端的 X509_verify_cert()，來驗證伺服器提供的憑證。該函式可能傳回一個負值，以指出內部錯誤 (例如記憶體不足)。OpenSSL 未正確處理此類負傳回值，並將造成 IO 函式 (如 SSL_connect() 或 SSL_do_handshake()) 指示失敗，且後續呼叫 SSL_get_error() 以傳回值 SSL_ERROR_WANT_RETRY_VERIFY。如果應用程式之前已呼叫 SSL_CTX_set_cert_verify_callback()，則此傳回值僅應由 OpenSSL 傳回。由於多數應用程式不會執行此操作，因此 SSL_get_error() 將意外傳回值 SSL_ERROR_WANT_RETRY_VERIFY，並且應用程式可能無法正確運作。具體行為將取決於應用程式，但可能引發當機、無限迴圈或其他類似的錯誤回應。
    結合利用 OpenSSL 3.0 中存在的個別錯誤，此問題會變得更加嚴重，並會導致 X509_verify_cert() 在處理憑證鏈時指出內部錯誤。當憑證不包含主體別名延伸，但憑證授權單位已強制執行名稱限制時，即會發生這種情況。即使使用有效鏈結，亦會發生此問題。攻擊者可結合利用這兩個問題，引發不正確的應用程式相依行為。已在 OpenSSL 3.0.1 版中修正此問題 (受影響的是 3.0.0 版)。(CVE-2021-4044)

  - BN_mod_sqrt() 函式專用於計算模組化平方根，其中包含一個可導致其針對非質數模數永遠執行迴圈的錯誤。在內部剖析包含壓縮形式的橢圓曲線公開金鑰或具有以壓縮形式編碼之基點的顯式橢圓曲線參數時，會使用此函式。透過建構具有無效顯式曲線參數的憑證，可能會觸發無限迴圈。由於憑證剖析發生在驗證憑證簽章之前，因此任何剖析外部提供之憑證的處理程序都可能遭受拒絕服務攻擊。也可以在剖析建構的私密金鑰時造成無限迴圈，因為這些金鑰中可能包含顯式橢圓曲線參數。因此，易受攻擊的情況包括：使用伺服器憑證的 TLS 伺服器 - 使用用戶端憑證的 TLS 伺服器 - 從客戶處取得憑證或私密金鑰的主機供應商 - 剖析來自使用者憑證要求的認證機構 - 剖析 ASN.1 橢圓曲線參數的任何其他應用程式，以及使用 BN_mod_sqrt() 的任何其他應用程式 (其中攻擊者可控制容易受到此 DoS 問題影響的參數值)。在 OpenSSL 1.0.2 版本中，最初剖析憑證期間並未剖析公開金鑰，進而導致觸發無限迴圈變得略微困難。不過，任何需要憑證公開金鑰的作業都會觸發無限迴圈。特別是，攻擊者可在驗證憑證簽章期間使用自我簽署憑證觸發迴圈。OpenSSL 1.0.2、 1.1.1 和 3.0 會受到此問題影響。此問題已在 2022 年 3 月 15 日發布的 1.1.1n 和 3.0.2 版本中得到解決。已在 OpenSSL 3.0.2 中修復 (受影響的是 3.0.0、3.0.1)。已在 OpenSSL 1.1.1n 中修復 (受影響的是 1.1.1-1.1.1m)。已在 OpenSSL 1.0.2zd 中修正 (受影響的是 1.0.2-1.0.2zc)。(CVE-2022-0778)

  - c_rehash 指令碼允許命令插入 (CVE-2022-1292)

  - 使用 OCSP_NOCHECKS 時，簽署者憑證驗證傳回不正確的回應 (CVE-2022-1343)

  - OPENSSL_LH_flush() 中斷記憶體的重複使用 (CVE-2022-1473)

  - c_rehash 指令碼允許命令插入 (CVE-2022-2068)

  - AES OCB 無法加密 32 位元 x86 中的某些位元組 (CVE-2022-2097)

  - X.509 電子郵件地址緩衝區溢位 (CVE-2022-3602，CVE-2022-3786)

  - 在 X.509 憑證驗證中可觸發緩衝區滿溢，特別是在名稱限制檢查中。請注意，此問題會在憑證鏈簽章驗證之後發生，且需要 CA 簽署惡意憑證，或是即使無法建構受信任的簽發者路徑，應用程式仍需繼續進行憑證驗證。讀取緩衝區滿溢可能導致當機，進而造成拒絕服務攻擊。理論上，這也可能導致私人記憶體內容 (例如私密金鑰或敏感純文字) 洩漏，但截至本公告發佈時，我們尚未發現任何可導致記憶體內容洩漏的有效攻擊。在 TLS 用戶端中，藉由連線至惡意伺服器即可觸發此問題。在 TLS 伺服器中，如果伺服器要求用戶端驗證且惡意用戶端連線，則可觸發此問題。(CVE-2022-4203)

  - OpenSSL RSA Decryption 實作中存在計時型旁路，其足可在 Bleichenbacher 式攻擊中跨網路復原純文字。若要成功解密，攻擊者必須能夠傳送大量的試用訊息以進行解密。
    此弱點會影響所有 RSA 填補模式：PKCS#1 v1.5、RSA-OEAP 和 RSASVE。例如，在 TLS 連線中，用戶端通常會使用 RSA 將加密的 pre-master 密碼傳送至伺服器。攻擊者若觀察到用戶端與伺服器之間存在真正連線，就可以利用此缺陷將試用訊息傳送至伺服器，並記錄處理這些訊息所用的時間。攻擊者獲得充足的訊息之後，便可復原用於最初連線的 pre-master 密碼，進而能夠解密透過該連線傳送的應用程式資料。(CVE-2022-4304)

  - PEM_read_bio_ex() 函式會從 BIO 讀取 PEM 檔案，並剖析和解碼名稱 (例如：
    CERTIFICATE)、任何標頭資料和承載資料。如果函式成功運行，則使用包含相關解碼資料之緩衝區的指標填入 name_out、標頭和資料引數。
    呼叫者負責釋放這些緩衝區。攻擊者可以建構會產生 0 位元組承載資料的 PEM 檔案。在此情況下，PEM_read_bio_ex() 會傳回失敗程式碼，但會在標頭引數中填入已釋放的緩衝區指標。如果呼叫者也釋放此緩衝區，則會發生雙重釋放。這很可能會導致當機。能夠提供惡意 PEM 檔案進行剖析的攻擊者可利用此弱點發動拒絕服務攻擊。PEM_read_bio() 和 PEM_read() 函式是 PEM_read_bio_ex() 的簡單包裝函式，因此這些函式也會直接受到影響。其他一些 OpenSSL 函式也會間接呼叫這些函式，包括同樣容易遭受攻擊的 PEM_X509_INFO_read_bio_ex() 和 SSL_CTX_use_serverinfo_file()。若在 OpenSSL 內部使用部分此類函式，則不會受到影響，因為如果 PEM_read_bio_ex() 傳回失敗程式碼，呼叫者將不會釋放標頭引數。這些位置包括 PEM_read_bio_TYPE() 函式以及 OpenSSL 3.0 中引入的解碼器。OpenSSL asn1parse 命令行應用程式也受此問題影響。(CVE-2022-4450)

  - 公開 API 函式 BIO_new_NDEF 是用於透過 BIO 串流 ASN.1 資料的協助程式函式。此函式主要用於 OpenSSL 內部，以支援 SMIME、CMS 和 PKCS7 串流功能，但也可能由終端使用者應用程式直接呼叫。此函式會接收來自呼叫者的 BIO，並在前面附加新的 BIO_f_asn1 篩選器 BIO 以形成 BIO 鏈結，然後將 BIO 鏈結的新標頭傳回給呼叫者。在某些情況下，例如，如果 CMS 收件人公開金鑰無效，則新篩選器 BIO 會被釋放，並且該函式會傳回 NULL 結果，表明失敗。但在此情況下，BIO 鏈結未經正確清理，且呼叫者傳送的 BIO 仍保留先前釋放的篩選器 BIO 的內部指標。如果呼叫者接著呼叫 BIO 上的 BIO_pop()，則會發生釋放後使用。這很可能會導致當機。此情況直接發生在內部函式 B64_write_ASN1() 中，其可能導致呼叫 BIO_new_NDEF()，並隨後在 BIO 上呼叫 BIO_pop()。此內部函式會接著由公開 API 函式 PEM_write_bio_ASN1_stream、PEM_write_bio_CMS_stream、PEM_write_bio_PKCS7_stream、SMIME_write_ASN1、SMIME_write_CMS 和 SMIME_write_PKCS7 呼叫。其他可能受到此弱點影響的公開 API 函式包括 i2d_ASN1_bio_stream、BIO_new_CMS、BIO_new_PKCS7、i2d_CMS_bio_stream 和 i2d_PKCS7_bio_stream。OpenSSL cms 和 smime 命令行應用程式受到類似影響。(CVE-2023-0215)

  - 當應用程式嘗試使用 d2i_PKCS7()、d2i_PKCS7_bio() 或 d2i_PKCS7_fp() 函式載入格式錯誤的 PKCS7 資料時，可能會觸發讀取時解除參照指標無效。解除參照的結果是應用程式損毀，這可以導致拒絕服務攻擊。OpenSSL 中的 TLS 實作未呼叫此函式，但是第三方應用程式可能會對未受信任的資料呼叫這些函式。
    (CVE-2023-0216)

  - 當應用程式嘗試透過 EVP_PKEY_public_check() 函式檢查格式錯誤的 DSA 公開金鑰時，可能會觸發讀取時解除參照指標無效。這很可能會導致應用程式損毀。
    使用者可對由未受信任的來源提供的公開金鑰呼叫此函式，攻擊者可藉此發動拒絕服務攻擊。OpenSSL 中的 TLS 實作未呼叫此函式，但如果有其他標準 (例如 FIPS 140-3) 強加的安全性需求，則應用程式可能會呼叫該函式。(CVE-2023-0217)

  - X.509 GeneralName 中有一個與 X.400 位址處理相關的類型混淆弱點。
    X.400 位址被剖析為 ASN1_STRING，但 GENERAL_NAME 的公開結構定義錯誤地將 x400Address 欄位的類型指定為 ASN1_TYPE。此欄位隨後會被 OpenSSL 函式 GENERAL_NAME_cmp 解譯為 ASN1_TYPE，而非 ASN1_STRING。啟用 CRL 檢查時 (即應用程式設定 X509_V_FLAG_CRL_CHECK 旗標)，此弱點可能允許攻擊者向 memcmp 呼叫傳遞任意指標，使其能夠讀取記憶體內容或發動拒絕服務攻擊。在大多數情況下，攻擊者需要同時提供憑證鍊和 CRL，兩者都不需要有效的簽章。如果攻擊者只控制其中一個輸入，則另一個輸入必須已包含 X.400 位址作為 CRL 發佈點，此情況並不常見。因此，此弱點最有可能只影響已實作透過網路擷取 CRL 這一功能的應用程式。(CVE-2023-0286)

  - 在 PKCS7 signed 或 signedAndEnveloped 資料上驗證簽章時，可解除參照 NULL 指標。如果 OpenSSL 程式庫已知用於簽章的雜湊演算法，但雜湊演算法的實作不可用，摘要式初始化將會失敗。缺少對初始化函式傳回值的檢查，這很可能會導致摘要 API 使用無效，進而導致當機。使用已啟用 FIPS 的提供程式組態，或未載入舊版提供程式 (更常見)，可造成演算法不可用。
    PKCS7 資料由 SMIME 程式庫呼叫處理，也可由時間戳記 (TS) 程式庫呼叫處理。OpenSSL 中的 TLS 實作未呼叫這些函式，但是第三方應用程式如果對未受信任的資料呼叫這些函式來驗證簽章，則會受到影響。(CVE-2023-0401)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

CentOS 9：openssl-3.0.7-18.el9

critical Nessus Plugin ID 193921

版本 1.1