【误差通告】OpenSSL 5月多个清静误差
宣布时间 2022-05-160x00 误差概述
2022年5月3日 ，OpenSSL项目宣布清静通告 ，修复了OpenSSL中的多个清静误差 ，这些误差可能导致下令执行和拒绝服务等 。
0x01 误差详情
OpenSSL是用于传输层清静 (TLS) 协议的强盛、商业级、功效齐全的开源工具包 ，用于通用加密和清静通讯 。
本次修复的4个清静误差如下：
l CVE-2022-1292：OpenSSL下令注入误差 （中危）
由于c_rehash 剧本没有准确整理 shell 元字符导致下令注入 ，可以使用该误差在未授权的情形下以剧本的权限执行恣意下令 。
l CVE-2022-1343：OpenSSL过失验证响应署名证书（中危）
由于OCSP_basic_verify函数在验证某些署名证书时保存过失 ，可使用该误差在未授权的情形下执行证书诱骗攻击 ，最终导致不法响应署名证书验证乐成 。
l CVE-2022-1434：OpenSSL加密过失误差（低危）
由于RC4-MD5 密码套件的 OpenSSL 3.0 实现过失地使用了AAD 数据作为 MAC 密钥 ，这使得 MAC 密钥可以被展望 �？梢允褂酶梦蟛钤谖词谌ǖ那樾蜗轮葱兄行娜斯セ鳌⑿薷耐ㄑ妒莸� ，但无法对数据举行解密 。
l CVE-2022-1473：OpenSSL拒绝服务误差（低危）
用于清空哈希表的 OPENSSL_LH_flush() 函数保存过失 ，在解码证书或密钥时内存使用量将无限扩大 ，历程可能被系统终止 ，导致拒绝服务 。
影响规模
CVE-ID | 影响版本 | 修复版本 |
CVE-2022-1292 | OpenSSL 1.0.2-1.0.2zd OpenSSL 1.1.1-1.1.1n OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 1.0.2：升级至 1.0.2ze（仅限高级支持客户） OpenSSL 1.1.1：升级至 1.1.1o OpenSSL 3.0 ：升级至 3.0.3 |
CVE-2022-1343 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升级到 3.0.3 |
CVE-2022-1434 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升级到 3.0.3 |
CVE-2022-1473 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升级到 3.0.3 |
0x02 处置惩罚建议
现在OpenSSL项目已经修复了这些误差 ，受影响的用户可以参考上表实时更新到响应修复版本 。
下载链接：
https://www.openssl.org/source/
0x03 参考链接
https://mta.openssl.org/pipermail/openssl-announce/2022-May/000224.html
https://nvd.nist.gov/vuln/detail/CVE-2022-1292
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2022-05-16 | 首次宣布 |
0x05 附录
尊龙凯时简介
尊龙凯时公司建设于1996年 ，并于2010年6月23日在深交所中小板正式挂牌上市 ，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静服务与解决计划的综合提供商 。
公司总部位于北京市中关村软件园 ，在天下各省、市、自治区设有分支机构 ，拥有笼罩天下的渠道系统和手艺支持中心 ，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心 。
多年来 ，尊龙凯时致力于提供具有国际竞争力的自主立异的清静产品和最佳实践服务 ，资助客户周全提升其IT基础设施的清静性和生产效能 ，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲 。
关于尊龙凯时
尊龙凯时清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告 。
关注以下公众号 ，获取全球最新清静资讯：
京公网安备11010802024551号