تم إيقاف تصحيحات OpenSSL - تم إرجاع خطأ حرج إلى درجة عالية ، ولكن التصحيح على أي حال!

سنبدأ بالأشياء المهمة: إصلاحات أخطاء OpenSSL التي طال انتظارها والتي تم الإعلان عنها الأسبوع الماضي خارج.

يذهب OpenSSL 1.1.1 إلى الإصدار 1.1.1s، ويقوم بتصحيح خطأ واحد مرتبط بالأمان ، ولكن هذا الخطأ ليس له تصنيف أمني أو رقم CVE رسمي.

نوصي بشدة بالتحديث ، ولكن التحديث المهم الذي ستراه في وسائط الأمن السيبراني لا ينطبق على هذا الإصدار.

يذهب OpenSSL 3.0 إلى إصدار 3.0.7، وتصحيحات ليس خطأ أمني واحد ، بل اثنين من الأخطاء الأمنية التي تم تحديدها برقم CVE والتي تم تحديدها رسميًا بدرجة خطورة عالية.

نوصي بشدة بالتحديث بأكبر قدر ممكن من الاستعجال ، ولكن الإصلاح الحاسم الذي يتحدث عنه الجميع قد تم تخفيضه الآن إلى درجة عالية الخطورة.

هذا يعكس رأي فريق OpenSSL:

الإعلانات المسبقة لـ CVE-2022-3602 وصفت هذه المشكلة بأنها حرجة. أدى التحليل الإضافي المستند إلى بعض العوامل المخففة الموضحة [في ملاحظات الإصدار] إلى خفض التصنيف إلى مرتفع. لا يزال يتم تشجيع المستخدمين على الترقية إلى إصدار جديد في أسرع وقت ممكن.

ومن المفارقات أن الخطأ الثاني وما شابه ذلك مدبلج CVE-2022-3786، أثناء إعداد إصلاح CVE-2022-3602.

يسمح الخطأ الأصلي للمهاجم فقط بإفساد أربعة بايتات على المكدس ، مما يحد من إمكانية استغلال الثقب ، بينما يسمح الخطأ الثاني بتدفق غير محدود من سعة المكدس ، ولكن يبدو فقط من الحرف "نقطة" (ASCII 46 ، أو 0x2E ) يتكرر مرارا وتكرارا.

يتم الكشف عن كلتا الثغرات الأمنية أثناء التحقق من شهادة TLS ، حيث "يعرّف" العميل أو الخادم المفخخ نفسه للخادم أو العميل في الطرف الآخر بشهادة TLS مشوهة بشكل متعمد.

على الرغم من أن هذه الأنواع من تجاوز سعة المكدس (أحدها ذات حجم محدود والآخر ذات قيم بيانات محدودة) تبدو كما لو أنه سيكون من الصعب استغلالها لتنفيذ التعليمات البرمجية (خاصة في برامج 64 بت ، حيث تمثل أربعة بايت نصف عنوان الذاكرة فقط) ...

... يكاد يكون من المؤكد أنها قابلة للاستغلال بسهولة في هجمات DoS (رفض الخدمة) ، حيث يمكن لمرسل الشهادة المارقة أن يحطم مستلم تلك الشهادة متى شاء.

لحسن الحظ ، تتضمن معظم عمليات تبادل TLS عملاء يتحققون من شهادات الخادم ، وليس العكس.

لا تطلب معظم خوادم الويب ، على سبيل المثال ، من الزائرين تعريف أنفسهم بشهادة قبل السماح لهم بقراءة الموقع ، لذلك من المحتمل أن يكون "اتجاه التعطل" لأي مآثر عاملة هو الخوادم المارقة التي تعطل الزوار التعساء ، وهو أمر يعتبر بشكل عام أقل خطورة بكثير من تعطل الخوادم في كل مرة يتصفحها زائر مارق واحد.

ومع ذلك ، فإن أي تقنية يمكن من خلالها لخادم البريد الإلكتروني أو الويب الذي تم اختراقه أن يؤدي إلى تعطل متصفح زائر أو تطبيق بريد إلكتروني دون مبرر ، يجب اعتباره أمرًا خطيرًا ، لأسباب ليس أقلها أن أي محاولة من قبل برنامج العميل لإعادة محاولة الاتصال ستؤدي إلى تعطل التطبيق مرارًا وتكرارًا تكرارا.

لذلك أنت بالتأكيد تريد ذلك التصحيح ضد هذا بأسرع ما يمكن.

ماذا ستفعلين.. إذًا؟

كما ذكر أعلاه ، تحتاج OpenSSL 1.1.1s or افتح SSL 3.0.7 لاستبدال أي إصدار لديك في الوقت الحالي.

OpenSSL 1.1.1s يحصل على تصحيح أمان يوصف بأنه إصلاح "تراجع [خطأ قديم ظهر مرة أخرى] تم تقديمه في OpenSSL 1.1.1r لا يؤدي إلى تحديث بيانات الشهادة المراد توقيعها قبل توقيع الشهادة"، هذا الخطأ ليس له خطورة أو تم تعيين CVE له ...

... ولكن لا تدع ذلك يعيقك عن التحديث بأسرع ما يمكن.

افتح SSL 3.0.7 يحصل على اثنين من الإصلاحات عالية الخطورة المرقمة من CVE والمذكورة أعلاه ، وعلى الرغم من أنهما لا يبدوان مخيفين الآن كما كانا في المهرجان الإخباري الذي أدى إلى هذا الإصدار ، يجب أن تفترض ما يلي:

• سيكتشف العديد من المهاجمين بسرعة كيفية استغلال هذه الفتحات لأغراض DoS. قد يتسبب ذلك في تعطيل سير العمل في أحسن الأحوال ، ومشكلة للأمن السيبراني في أسوأ الأحوال ، خاصة إذا كان من الممكن إساءة استخدام الخطأ لإبطاء أو تعطيل العمليات الآلية المهمة (مثل التحديثات) في نظام تكنولوجيا المعلومات الخاص بك.
• قد يتمكن بعض المهاجمين من معالجة هذه الأخطاء لتنفيذ التعليمات البرمجية عن بُعد. هذا من شأنه أن يمنح المجرمين فرصة جيدة لاستخدام خوادم الويب المفخخة لتخريب برامج العميل المستخدمة للتنزيل الآمن في عملك الخاص.
• إذا تم العثور على إثبات المفهوم (PoC) ، فسوف يجذب اهتمامًا كبيرًا. كما ستتذكر من Log4Shell ، بمجرد نشر PoCs ، قفز الآلاف من "الباحثين" الذين يسمون أنفسهم "الباحثين" على عربة مسح الإنترنت والهجوم أثناء التنقل تحت ستار "مساعدة" الأشخاص في العثور على مشاكل على شبكاتهم.

لاحظ أن OpenSSL 1.0.2 لا يزال مدعومًا ومحدثًا ، ولكن بشكل خاص فقط ، للعملاء الذين دفعوا عقودًا مع فريق OpenSSL ، ولهذا السبب ليس لدينا أي معلومات نكشف عنها هنا ، بخلاف التأكيد على أن CVE -الأخطاء المرقمة في OpenSSL 3.0 لا تنطبق على سلسلة OpenSSL 1.0.2.

اطلع على اقرأ المزيد، واحصل على تحديثات OpenSSL، من موقع OpenSSL.

أوه ، وإذا بدأت PoCs بالظهور على الإنترنت ، من فضلك لا تكن ذكيًا وابدأ في "تجربة" هذه البرامج ضد أجهزة الكمبيوتر الخاصة بأشخاص آخرين تحت الانطباع بأنك "تساعد" في أي نوع من "البحث".

---