BDU:2022-04039: Уязвимость функции модульного возведения в степень Монтгомери с постоянным временем библиотек OpenSSL и BoringSSL, позволяющая нарушителю выполнить произвольный код

Описание уязвимости Уязвимость функции модульного возведения в степень Монтгомери с постоянным временем библиотек OpenSSL и BoringSSL связана с возможностью записи за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных данных в момент установки TLS-соединения
Вендор OpenSSL Software Foundation
Наименование ПО OpenSSL
Версия ПО
  • до 3.0.4 включительно
Тип ПО Программное средство защиты
Операционные системы и аппаратные платформы
Данные уточняются
Тип ошибки Непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 21.06.2022
Базовый вектор уязвимости
Уровень опасности уязвимости Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
По утверждениям исследователей библиотека OpenSSL 3.0.4, выпущенная 21 июня 2022 года, подвержена указанной уязвимости.

Компенсирующие меры:
- ограничение использования библиотек на системах x64 с поддержкой AVX512;
- использование неподверженной уязвимости ветки OpenSSL 1.1.1.
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Инъекция
Способ устранения Организационные меры
Информация об устранении Информация об устранении отсутствует
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения