Kwetsbaarheden verholpen in OpenSSL

Er zijn kwetsbaarheden verholpen in OpenSSL. Een kwaadwillende kan de kwetsbaarheden mogelijk misbruiken om beveiligingsmaatregelen te omzeilen, een denial-of-service te veroorzaken of om code uit te voeren onder rechten van een ander proces.

De kwetsbaarheid met kenmerk CVE-2022-1343 bevindt zich in functionaliteit voor het valideren van Online Certificate Status Protocol (OCSP) berichten. Wanneer bij het verifiëren van OCSP-berichten de vlag "OCSP_NOCHECKS" wordt gebruikt, is het mogelijk dat OpenSSL aangeeft dat het OCSP-bericht valide is ondanks dat het certificaat waarmee het bericht is ondertekend dat niet is. Een kwaadwillende kan deze kwetsbaarheid misbruiken om de status van een te controleren certificaat te vervalsen. De kwaadwillende kan het bijvoorbeeld doen lijken alsof een certificaat verlopen is terwijl het eigenlijk nog geldig is, en omgekeerd. De ontwikkelaars van OpenSSL merken op dat OCSP_NOCHECK in de praktijk weinig wordt gebruikt en vooral is gericht op gebruik voor testdoeleinden. De kwetsbaarheid is naast OpenSSL ook aanwezig in de losstaande OpenSSL-applicatie "ocsp". De kwetsbaarheid is alleen aanwezig in OpenSSL 3.0 tot en met 3.0.2.

De kwetsbaarheid met kenmerk CVE-2022-1292 is een command-injection kwetsbaarheid in een script genaamd "c_rehash". Op sommige besturingssystemen wordt dit script automatisch uitgevoerd. Op dergelijke systemen kan een lokale kwaadwillende in het script commando's injecteren en zodoende code uitvoeren onder de rechten waarmee het script wordt uitgevoerd. Het is op dit moment onduidelijk welke besturingssystemen dit script automatisch uitvoeren.