ท้องฟ้าไม่ถล่ม: ข้อบกพร่อง OpenSSL ที่เปิดเผยนั้นร้ายแรง แต่ไม่สำคัญ

ผู้เชี่ยวชาญด้านความปลอดภัยอธิบายถึงช่องโหว่ที่คาดว่าจะสูง XNUMX รายการที่ทีมงานโครงการ OpenSSL ได้ทำการแก้ไขเมื่อวันอังคารว่าเป็นปัญหาที่ต้องได้รับการแก้ไขโดยเร็ว แต่ไม่จำเป็นว่าจะต้องได้รับการตอบรับในกรณีฉุกเฉินแบบทิ้งทุกอย่าง

การเปิดตัวเวอร์ชัน 3.0.7 ของไลบรารีเข้ารหัสลับที่ใช้กันแพร่หลายเกือบทั้งหมดได้ระบุถึงช่องโหว่ที่มีบัฟเฟอร์ล้น 3.0.0 จุด ซึ่งมีอยู่ใน OpenSSL เวอร์ชัน 3.0.6 ถึง XNUMX

นำไปสู่การเปิดเผยข้อมูล ผู้เชี่ยวชาญด้านความปลอดภัยได้เตือนประเด็นหนึ่งว่า แต่เดิมมีลักษณะเป็น "วิกฤต" ปัญหาการเรียกใช้โค้ดจากระยะไกล อาจทำให้เกิดปัญหาระดับ Heartbleed ที่ใช้งานจริงได้ โชคดีที่ดูเหมือนจะไม่เป็นเช่นนั้น — และในการเปิดเผยข้อบกพร่อง ทีมงานโครงการ OpenSSL กล่าวว่าได้ตัดสินใจที่จะ ปรับลดระดับภัยคุกคามเป็น "สูง" ตามข้อเสนอแนะจากองค์กรที่ได้ทดสอบและวิเคราะห์จุดบกพร่อง

คู่ของบัฟเฟอร์ล้น

ข้อผิดพลาดแรก (CVE-2022-3602) สามารถเปิดใช้งาน RCE ได้ภายใต้สถานการณ์เฉพาะ ซึ่งแต่เดิมทำให้ผู้เชี่ยวชาญด้านความปลอดภัยบางคนกังวลว่าข้อบกพร่องอาจส่งผลกระทบทั่วทั้งอุตสาหกรรม แต่ปรากฎว่ามีสถานการณ์ที่บรรเทาลง ประการหนึ่ง เป็นการยากที่จะหาประโยชน์ดังที่ได้อธิบายไว้ด้านล่าง นอกจากนี้ ไม่ใช่ทุกระบบที่ได้รับผลกระทบ

โดยเฉพาะอย่างยิ่ง เฉพาะเบราว์เซอร์ที่สนับสนุน OpenSSL 3.0.0 ถึง 3.0.6 เช่น Firefox และ Internet Explorer เท่านั้นที่ได้รับผลกระทบในขณะนี้ ตามที่ Mark Ellzey นักวิจัยด้านความปลอดภัยอาวุโสของ Censys กล่าว สิ่งที่ไม่ได้รับผลกระทบอย่างเด่นชัดคือ Google Chrome ซึ่งเป็นเบราว์เซอร์อินเทอร์เน็ตชั้นนำ

“คาดว่าผลกระทบจะน้อยมากเนื่องจากความซับซ้อนของการโจมตีและข้อจำกัดในการดำเนินการ” เขากล่าว “องค์กรต่างๆ ควรทบทวนการฝึกอบรมฟิชชิ่งและจับตาดูแหล่งข่าวกรองภัยคุกคามเพื่อให้แน่ใจว่าพวกเขาเตรียมพร้อมหากตกเป็นเป้าหมายของการโจมตีเช่นนี้”

ในการบู๊ต Alex Ilgayev หัวหน้านักวิจัยด้านความปลอดภัยของ Cycode ตั้งข้อสังเกตว่าข้อบกพร่องนี้ไม่สามารถนำไปใช้กับลีนุกซ์บางรุ่นได้ และแพลตฟอร์มระบบปฏิบัติการสมัยใหม่จำนวนมากใช้การป้องกันสแต็กโอเวอร์โฟลว์เพื่อลดภัยคุกคามเช่นนี้ในทุกกรณี Ilgayev กล่าว

ช่องโหว่ที่สอง (CVE-2022-3786) ซึ่งถูกค้นพบในขณะที่กำลังพัฒนาการแก้ไขข้อบกพร่องดั้งเดิม สามารถใช้เพื่อทริกเกอร์เงื่อนไขการปฏิเสธการให้บริการ (DoS) ทีม OpenSSL ประเมินช่องโหว่ว่ามีความรุนแรงสูง แต่ตัดความเป็นไปได้ที่จะนำไปใช้หาประโยชน์จาก RCE

ช่องโหว่ทั้งสองเชื่อมโยงกับฟังก์ชันที่เรียกว่า Punycode สำหรับเข้ารหัสชื่อโดเมนสากล

“ผู้ใช้ OpenSSL 3.0.0 – 3.0.6 คือ สนับสนุนให้อัปเกรดเป็น 3.0.7 โดยเร็วที่สุด” ทีมงาน OpenSSL กล่าวในบล็อกที่มาพร้อมกับการเปิดเผยข้อบกพร่องและการเปิดตัวไลบรารีการเข้ารหัสเวอร์ชันใหม่ “หากคุณได้รับสำเนาของ OpenSSL จากผู้จำหน่ายระบบปฏิบัติการหรือบุคคลที่สามอื่นๆ คุณควรขอรับเวอร์ชันที่อัปเดตจากพวกเขาโดยเร็วที่สุด”

ไม่ใช่ Heartbleed อื่น

การเปิดเผยข้อบกพร่องจะต้องลดลงอย่างแน่นอน – อย่างน้อยก็ในขณะนี้ – ทำให้เกิดความกังวลอย่างกว้างขวาง โดยการแจ้งเตือนของทีม OpenSSL เมื่อสัปดาห์ที่แล้วเกี่ยวกับการเปิดเผยข้อบกพร่องที่กำลังจะเกิดขึ้น คำอธิบายของข้อบกพร่องแรกโดยเฉพาะอย่างยิ่งว่า "สำคัญ" ทำให้มีการเปรียบเทียบหลายครั้งกับข้อผิดพลาด "Heartbleed" ในปี 2014 ซึ่งเป็นข้อบกพร่องอื่นเพียงรายการเดียวใน OpenSSL ที่ได้รับคะแนนวิกฤต ข้อบกพร่องดังกล่าว (CVE-2014-0160) ส่งผลกระทบต่ออินเทอร์เน็ตในวงกว้าง และหลายองค์กรก็ยังไม่ได้รับการแก้ไขอย่างสมบูรณ์

Jonathan Knudsen หัวหน้าฝ่ายวิจัยทั่วโลกของ Synopsys Cybersecurity Research Center กล่าวว่า “Heartbleed ถูกเปิดโดยค่าเริ่มต้นบนซอฟต์แวร์ใดๆ ที่ใช้ OpenSSL เวอร์ชันที่มีช่องโหว่ และผู้โจมตีสามารถใช้ประโยชน์ได้อย่างง่ายดายมากเพื่อดูคีย์เข้ารหัสและรหัสผ่านที่จัดเก็บไว้ในหน่วยความจำเซิร์ฟเวอร์ . “ช่องโหว่ทั้งสองที่เพิ่งรายงานใน OpenSSL นั้นร้ายแรงแต่ไม่ได้มีขนาดเท่ากัน”

ข้อบกพร่องของ OpenSSL ยากที่จะใช้ประโยชน์...

ในการใช้ประโยชน์จากข้อบกพร่องใหม่ เซิร์ฟเวอร์ที่มีช่องโหว่จะต้องขอการรับรองความถูกต้องของใบรับรองไคลเอ็นต์ ซึ่งไม่ใช่บรรทัดฐาน Knudsen กล่าว และไคลเอ็นต์ที่มีช่องโหว่จะต้องเชื่อมต่อกับเซิร์ฟเวอร์ที่เป็นอันตราย ซึ่งเป็นเรื่องปกติธรรมดาและมีโอกาสป้องกันได้ เขากล่าว

“ไม่ควรมีใครหัวร้อนเกี่ยวกับช่องโหว่ทั้งสองนี้ แต่ช่องโหว่เหล่านี้ร้ายแรงและควรได้รับการจัดการด้วยความเร็วและความรอบคอบที่เหมาะสม” เขาตั้งข้อสังเกต

ในบล็อกโพสต์ SANS Internet Storm Center อธิบายการอัปเดต OpenSSL ว่าเป็น แก้ไขบัฟเฟอร์เกินระหว่างกระบวนการตรวจสอบใบรับรอง. เพื่อให้ช่องโหว่ทำงานได้ ใบรับรองจะต้องมีชื่อที่เข้ารหัส Punycode ที่เป็นอันตราย และช่องโหว่นี้จะถูกเรียกใช้หลังจากสายใบรับรองได้รับการตรวจสอบแล้วเท่านั้น

“ก่อนอื่นผู้โจมตีต้องสามารถมีใบรับรองที่เป็นอันตรายซึ่งลงนามโดยผู้ออกใบรับรองที่ไคลเอนต์เชื่อถือ” SANS ISC กล่าว “สิ่งนี้ดูเหมือนจะไม่สามารถใช้ประโยชน์จากเซิร์ฟเวอร์ได้ สำหรับเซิร์ฟเวอร์ สิ่งนี้อาจถูกโจมตีหากเซิร์ฟเวอร์ขอใบรับรองจากลูกค้า”

บรรทัดล่างสุด: โอกาสในการถูกโจมตีนั้นต่ำเนื่องจากช่องโหว่นั้นซับซ้อนในการถูกโจมตี เช่นเดียวกับโฟลว์และข้อกำหนดในการเรียกใช้งาน Ilgayev จาก Cycode กล่าว นอกจากนี้ยังส่งผลกระทบต่อระบบจำนวนค่อนข้างน้อย เมื่อเทียบกับระบบที่ใช้ OpenSSL เวอร์ชันก่อน 3.0

…แต่จงขยันหมั่นเพียร

ในขณะเดียวกัน สิ่งสำคัญคือต้องระลึกไว้เสมอว่าช่องโหว่ที่ยากต่อการใช้ประโยชน์นั้นเคยถูกโจมตีมาแล้วในอดีต Ilgayev กล่าวโดยชี้ไปที่ การใช้ประโยชน์แบบ Zero-click ที่กลุ่ม NSO พัฒนาขึ้นสำหรับช่องโหว่ใน iOS ปีก่อน

“[นอกจากนี้] เช่นเดียวกับที่ทีม OpenSSL กล่าว ไม่มีทางรู้ว่าทุกแพลตฟอร์มและชุดคอมไพเลอร์จัดเรียงบัฟเฟอร์บนสแต็กอย่างไร ดังนั้นการเรียกใช้โค้ดจากระยะไกลอาจยังทำได้ในบางแพลตฟอร์ม” เขาเตือน

และแน่นอนว่า Ellzey ได้สรุปสถานการณ์หนึ่งที่ผู้โจมตีสามารถใช้ประโยชน์จาก CVE-2022-3602 ซึ่งเป็นข้อบกพร่องที่ทีม OpenSSL ประเมินว่าวิกฤตในตอนแรก

“ผู้โจมตีจะโฮสต์เซิร์ฟเวอร์ที่เป็นอันตรายและพยายามให้เหยื่อตรวจสอบสิทธิ์กับเซิร์ฟเวอร์นั้นด้วยแอปพลิเคชันที่เสี่ยงต่อ OpenSSL v3.x ซึ่งอาจผ่านกลวิธีฟิชชิ่งแบบดั้งเดิม” เขากล่าว แม้ว่าขอบเขตจะถูกจำกัดเนื่องจากการเจาะระบบเป็นไคลเอนต์เป็นส่วนใหญ่ ด้านข้าง.

ช่องโหว่เช่นนี้เน้นให้เห็นถึงความสำคัญของการมี รายการวัสดุซอฟต์แวร์ (SBOM) สำหรับทุกไบนารีที่ใช้ Ilgayev บันทึก “การดูที่ตัวจัดการแพ็คเกจนั้นไม่เพียงพอ เนื่องจากไลบรารีนี้สามารถเชื่อมโยงและคอมไพล์ในการกำหนดค่าต่างๆ ซึ่งจะส่งผลต่อความสามารถในการหาประโยชน์” เขากล่าว