OpenSSL بهروزرسانیهای امنیتی را برای آسیبپذیریهای حیاتی CVE-۲۰۲۲-۳۶۰۲ و CVE-۲۰۲۲-۳۷۸۶ منتشر کرده است.
در آخرین هفته اکتبر ۲۰۲۲، پروژه OpenSSL دو آسیبپذیری را در کتابخانه OpenSSL آشکار کرد. هر دو CVE-۲۰۲۲-۳۶۰۲ و CVE-۲۰۲۲-۳۷۸۶ دارای برچسب “بالا” با نمره CVSS ۸.۸ هستند که فقط ۰.۲ امتیاز کمتر از آنچه که باید در نظر گرفته شوند “بحرانی” است.
مشکل در فرآیند تأیید گواهی هایی است که OpenSSL برای احراز هویت مبتنی بر گواهی انجام می دهد. بهره برداری از آسیب پذیری ها می تواند به مهاجم اجازه دهد تا یک حمله انکار سرویس (DoS) یا حتی یک حمله اجرای کد از راه دور را اجرا کند. وصله های دو نقطه ضعف موجود در OpenSSL نسخه ۳.۰.۰ تا ۳.۰۶ اکنون منتشر شده است.
OpenSSL چیست؟
OpenSSL یک ابزار خط فرمان رمزنگاری متن باز است که برای حفظ امنیت تبادل ترافیک وب بین مشتری و سرور پیاده سازی شده است. برای تولید کلیدهای عمومی و خصوصی، نصب گواهیهای SSL/TLS، تأیید اطلاعات گواهی و ارائه رمزگذاری استفاده میشود.
این مشکل در ۱۷ اکتبر ۲۰۲۲ زمانی که Polar Bear دو آسیبپذیری سطح بالا در OpenSSL نسخه ۳.۰.۰ تا ۳.۰.۶ را برای پروژه OpenSSL افشا کرد، آشکار شد. آسیب پذیری ها CVE-۲۰۲۲-۳۶۰۲ و CVE-۲۰۲۲-۳۷۸۶ هستند.
در ۲۵ اکتبر ۲۰۲۲، اخبار مربوط به آسیب پذیری ها در اینترنت منتشر شد. مارک کاکس، مهندس نرم افزار Red Hat و معاون امنیت بنیاد نرم افزار آپاچی این خبر را در توییتی منتشر کرد.
چگونه یک مهاجم می تواند از این آسیب پذیری ها سوء استفاده کند؟
جفت آسیبپذیری CVE-۲۰۲۲-۳۶۰۲ و CVE-۲۰۲۲-۳۷۸۶ مستعد حمله سرریز بافر هستند که یک حمله سایبری است که در آن از محتوای حافظه سرور برای افشای اطلاعات کاربر و کلیدهای خصوصی سرور یا اجرای کد از راه دور سوء استفاده میشود.
CVE-2022-3602
این آسیبپذیری به مهاجم اجازه میدهد تا از غلبه بافر در تأیید گواهی X.۵۰۹ در بررسی محدودیت نام استفاده کند. این امر پس از تأیید زنجیره گواهی اتفاق میافتد و به امضای CA در گواهی مخرب یا تأیید گواهی نیاز دارد تا علیرغم عدم نگاشت به صادرکننده مورد اعتماد ادامه یابد.
یک مهاجم میتواند یک طرح فیشینگ مانند ایجاد یک آدرس ایمیل ساختگی برای سرریز کردن چهار بایت در پشته، ترکیب کند. این می تواند منجر به یک حمله Denial-of-Service (DoS) شود که در آن سرویس پس از خراب شدن از دسترس خارج می شود، یا مهاجم می تواند اجرای کد از راه دور را انجام دهد، به این معنی که یک کد از راه دور برای کنترل سرور برنامه اجرا می شود.
اگر یک سرویس گیرنده TLS معتبر به یک سرور مخرب متصل شود یا اگر یک سرور TLS معتبر به یک سرویس گیرنده مخرب متصل شود، این آسیب پذیری می تواند فعال شود.
CVE-2022-3786
این آسیب پذیری درست مانند CVE-۲۰۲۲-۳۶۰۲ مورد سوء استفاده قرار می گیرد. تنها تفاوت این است که یک مهاجم یک آدرس ایمیل مخرب ایجاد می کند تا تعداد دلخواه بایت حاوی “.” کاراکتر (اعشار ۴۶). با این حال، در CVE-۲۰۲۲-۳۶۰۲، تنها چهار بایت کنترل شده توسط مهاجم مورد سوء استفاده قرار می گیرد.
فلاش بک آسیب پذیری بدنام “Heartbleed”.
در سال ۲۰۱۶، مشکل مشابهی در OpenSSL کشف شد که به آن درجه بندی شدت “بحرانی” داده شد. این یک باگ مدیریت حافظه بود که به مهاجمان اجازه می داد کلیدهای مخفی، رمزهای عبور و سایر اطلاعات حساس را در سرورهای آسیب پذیر به خطر بیاندازند. این اشکال بدنام به عنوان Heartbleed (CVE-۲۰۱۴-۰۱۶۰) شناخته می شود و تا به امروز، بیش از ۲۰۰۰۰۰ دستگاه در برابر این ضعف آسیب پذیر تلقی می شوند.
راه حل چیست؟
در دنیای امروزی که از امنیت سایبری آگاه است، بسیاری از پلتفرمها حفاظت از سرریز پشته را برای دور نگه داشتن مهاجمان اجرا میکنند. این کاهش لازم را در برابر سرریز بافر فراهم می کند.
کاهش بیشتر در برابر این آسیب پذیری ها شامل ارتقاء به آخرین نسخه منتشر شده OpenSSL است. از آنجایی که OpenSSL v3.۰.۰ به v3.۰.۶ آسیب پذیر است، توصیه می شود که به OpenSSL v3.۰.۷ ارتقا دهید. با این حال، اگر از OpenSSL v1.۱.۱ و v1.۰.۲ استفاده می کنید، می توانید به استفاده از این نسخه ها ادامه دهید زیرا این دو آسیب پذیری تحت تأثیر قرار نمی گیرند.
بهره برداری از دو آسیب پذیری سخت است
احتمال سوء استفاده از این آسیبپذیریها کم است، زیرا یکی از شرایط، گواهی ناقص امضا شده توسط یک CA مورد اعتماد است. با توجه به افزایش روزافزون چشم انداز حملات، اکثر سیستم های مدرن اطمینان حاصل می کنند که مکانیسم های امنیتی داخلی را برای جلوگیری از این نوع حملات پیاده سازی می کنند.
امنیت سایبری در دنیای امروز یک ضرورت است، با مکانیسمهای حفاظتی داخلی و پیشرفته، بهرهبرداری از آسیبپذیریهایی از این دست دشوار است. به لطف به روز رسانی های امنیتی منتشر شده توسط OpenSSL به موقع، لازم نیست نگران این آسیب پذیری ها باشید. فقط اقدامات لازم مانند وصله سیستم خود و پیاده سازی لایه های امنیتی خوب را انجام دهید و در استفاده از OpenSSL ایمن هستید.