OpenSSL به‌روزرسانی‌های امنیتی را برای آسیب‌پذیری‌های حیاتی CVE-2022-3602 و CVE-2022-3786 منتشر کرده است.
در آخرین هفته اکتبر 2022، پروژه OpenSSL دو آسیب‌پذیری را در کتابخانه OpenSSL آشکار کرد. هر دو CVE-2022-3602 و CVE-2022-3786 دارای برچسب “بالا” با نمره CVSS 8.8 هستند که فقط 0.2 امتیاز کمتر از آنچه که باید در نظر گرفته شوند “بحرانی” است.
مشکل در فرآیند تأیید گواهی هایی است که OpenSSL برای احراز هویت مبتنی بر گواهی انجام می دهد. بهره برداری از آسیب پذیری ها می تواند به مهاجم اجازه دهد تا یک حمله انکار سرویس (DoS) یا حتی یک حمله اجرای کد از راه دور را اجرا کند. وصله های دو نقطه ضعف موجود در OpenSSL نسخه 3.0.0 تا 3.06 اکنون منتشر شده است.
OpenSSL چیست؟
OpenSSL یک ابزار خط فرمان رمزنگاری متن باز است که برای حفظ امنیت تبادل ترافیک وب بین مشتری و سرور پیاده سازی شده است. برای تولید کلیدهای عمومی و خصوصی، نصب گواهی‌های SSL/TLS، تأیید اطلاعات گواهی و ارائه رمزگذاری استفاده می‌شود.
این مشکل در 17 اکتبر 2022 زمانی که Polar Bear دو آسیب‌پذیری سطح بالا در OpenSSL نسخه 3.0.0 تا 3.0.6 را برای پروژه OpenSSL افشا کرد، آشکار شد. آسیب پذیری ها CVE-2022-3602 و CVE-2022-3786 هستند.
در 25 اکتبر 2022، اخبار مربوط به آسیب پذیری ها در اینترنت منتشر شد. مارک کاکس، مهندس نرم افزار Red Hat و معاون امنیت بنیاد نرم افزار آپاچی این خبر را در توییتی منتشر کرد.
چگونه یک مهاجم می تواند از این آسیب پذیری ها سوء استفاده کند؟
جفت آسیب‌پذیری CVE-2022-3602 و CVE-2022-3786 مستعد حمله سرریز بافر هستند که یک حمله سایبری است که در آن از محتوای حافظه سرور برای افشای اطلاعات کاربر و کلیدهای خصوصی سرور یا اجرای کد از راه دور سوء استفاده می‌شود.
CVE-2022-3602
این آسیب‌پذیری به مهاجم اجازه می‌دهد تا از غلبه بافر در تأیید گواهی X.509 در بررسی محدودیت نام استفاده کند. این امر پس از تأیید زنجیره گواهی اتفاق می‌افتد و به امضای CA در گواهی مخرب یا تأیید گواهی نیاز دارد تا علیرغم عدم نگاشت به صادرکننده مورد اعتماد ادامه یابد.
یک مهاجم می‌تواند یک طرح فیشینگ مانند ایجاد یک آدرس ایمیل ساختگی برای سرریز کردن چهار بایت در پشته، ترکیب کند. این می تواند منجر به یک حمله Denial-of-Service (DoS) شود که در آن سرویس پس از خراب شدن از دسترس خارج می شود، یا مهاجم می تواند اجرای کد از راه دور را انجام دهد، به این معنی که یک کد از راه دور برای کنترل سرور برنامه اجرا می شود.
اگر یک سرویس گیرنده TLS معتبر به یک سرور مخرب متصل شود یا اگر یک سرور TLS معتبر به یک سرویس گیرنده مخرب متصل شود، این آسیب پذیری می تواند فعال شود.
CVE-2022-3786
این آسیب پذیری درست مانند CVE-2022-3602 مورد سوء استفاده قرار می گیرد. تنها تفاوت این است که یک مهاجم یک آدرس ایمیل مخرب ایجاد می کند تا تعداد دلخواه بایت حاوی “.” کاراکتر (اعشار 46). با این حال، در CVE-2022-3602، تنها چهار بایت کنترل شده توسط مهاجم مورد سوء استفاده قرار می گیرد.
فلاش بک آسیب پذیری بدنام “Heartbleed”.
در سال 2016، مشکل مشابهی در OpenSSL کشف شد که به آن درجه بندی شدت “بحرانی” داده شد. این یک باگ مدیریت حافظه بود که به مهاجمان اجازه می داد کلیدهای مخفی، رمزهای عبور و سایر اطلاعات حساس را در سرورهای آسیب پذیر به خطر بیاندازند. این اشکال بدنام به عنوان Heartbleed (CVE-2014-0160) شناخته می شود و تا به امروز، بیش از 200000 دستگاه در برابر این ضعف آسیب پذیر تلقی می شوند.
راه حل چیست؟
در دنیای امروزی که از امنیت سایبری آگاه است، بسیاری از پلتفرم‌ها حفاظت از سرریز پشته را برای دور نگه داشتن مهاجمان اجرا می‌کنند. این کاهش لازم را در برابر سرریز بافر فراهم می کند.
کاهش بیشتر در برابر این آسیب پذیری ها شامل ارتقاء به آخرین نسخه منتشر شده OpenSSL است. از آنجایی که OpenSSL v3.0.0 به v3.0.6 آسیب پذیر است، توصیه می شود که به OpenSSL v3.0.7 ارتقا دهید. با این حال، اگر از OpenSSL v1.1.1 و v1.0.2 استفاده می کنید، می توانید به استفاده از این نسخه ها ادامه دهید زیرا این دو آسیب پذیری تحت تأثیر قرار نمی گیرند.
بهره برداری از دو آسیب پذیری سخت است
احتمال سوء استفاده از این آسیب‌پذیری‌ها کم است، زیرا یکی از شرایط، گواهی ناقص امضا شده توسط یک CA مورد اعتماد است. با توجه به افزایش روزافزون چشم انداز حملات، اکثر سیستم های مدرن اطمینان حاصل می کنند که مکانیسم های امنیتی داخلی را برای جلوگیری از این نوع حملات پیاده سازی می کنند.
امنیت سایبری در دنیای امروز یک ضرورت است، با مکانیسم‌های حفاظتی داخلی و پیشرفته، بهره‌برداری از آسیب‌پذیری‌هایی از این دست دشوار است. به لطف به روز رسانی های امنیتی منتشر شده توسط OpenSSL به موقع، لازم نیست نگران این آسیب پذیری ها باشید. فقط اقدامات لازم مانند وصله سیستم خود و پیاده سازی لایه های امنیتی خوب را انجام دهید و در استفاده از OpenSSL ایمن هستید.