CVE-2023-6237 in OpenSSL
الملخص
بحسب VulDB • 10/07/2026
ملخص المشكلة: قد يستغرق التحقق من مفاتيح RSA العامة غير الصالحة ذات الطول المفرط وقتاً طويلاً.
ملخص الأثر: قد تواجه التطبيقات التي تستخدم الدالة `EVP_PKEY_public_check()` للتحقق من مفاتيح RSA العامة تأخيرات طويلة. وإذا كانت المفتاح الذي يتم التحقق منه تم الحصول عليه من مصدر غير موثوق، فقد يؤدي ذلك إلى حدوث هجوم حجب الخدمة (Denial of Service).
عند استدعاء الدالة `EVP_PKEY_public_check()` على مفاتيح RSA العامة، تُجرى عملية حسابية للتأكد من أن معامل RSA، n، هو عدد مركب. بالنسبة للمفاتيح الصالحة لـ RSA، يكون n ناتج ضرب عاملين أوليين كبيرين أو أكثر، وتكتمل هذه العملية الحسابية بسرعة. ومع ذلك، إذا كان n عدداً أولياً ضخماً بشكل مفرط، فقد تستغرق هذه العملية وقتاً طويلاً جداً.
قد تكون التطبيقات التي تستدعي `EVP_PKEY_public_check()` وتزودها بمفتاح RSA تم الحصول عليه من مصدر غير موثوق عرضة لهجوم حجب الخدمة (Denial of Service).
لا يتم استدعاء الدالة `EVP_PKEY_public_check()` من داخل دوال أخرى في مكتبة OpenSSL، لكنها تُستدعى بواسطة تطبيق سطر الأوامر pkey الخاص بـ OpenSSL. ولذلك، فإن هذا التطبيق أيضاً معرض للخطر إذا تم استخدامه مع الخيارات `-pubin` و `-check` على بيانات غير موثوقة.
لا تتأثر تنفيذية SSL/TLS الخاصة بـ OpenSSl بهذه المشكلة.
تتأثر مزودات FIPS في إصداري OpenSSL 3.0 و 3.1 بهذه المشكلة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.