CVE-2023-5678 in OpenSSL
Riassunto
di VulDB • 08/07/2026
Riepilogo del problema: La generazione di chiavi DH X9.42 eccessivamente lunghe o il controllo di chiavi o parametri DH X9.42 eccessivamente lunghi può essere molto lenta.
Riepilogo dell'impatto: Le applicazioni che utilizzano le funzioni `DH_generate_key()` per generare una chiave DH X9.42 potrebbero subire ritardi prolungati. Analogamente, le applicazioni che utilizzano `DH_check_pub_key()`, `DH_check_pub_key_ex()` o `EVP_PKEY_public_check()` per verificare una chiave DH X9.42 o i parametri DH X9.42 potrebbero subire lunghi ritardi. Qualora la chiave o i parametri sottoposti a verifica siano stati ottenuti da una fonte non attendibile, ciò potrebbe portare a un Denial of Service (DoS).
Sebbene `DH_check()` esegua tutti i controlli necessari (a partire dalla CVE-2023-3817), `DH_check_pub_key()` non effettua alcuno di tali controlli ed è pertanto vulnerabile per parametri P e Q eccessivamente grandi.
Allo stesso modo, sebbene `DH_generate_key()` esegua un controllo per rilevare valori di P eccessivamente grandi, non verifica la presenza di valori di Q eccessivamente grandi.
Un'applicazione che chiama `DH_generate_key()` o `DH_check_pub_key()` e fornisce una chiave o parametri ottenuti da una fonte non attendibile potrebbe essere vulnerabile a un attacco Denial of Service (DoS).
`DH_generate_key()` e `DH_check_pub_key()` sono inoltre chiamate da diverse altre funzioni di OpenSSL. Un'applicazione che chiama qualsiasi altra funzione interessata può subire effetti simili. Le altre funzioni colpite da questo problema sono `DH_check_pub_key_ex()`, `EVP_PKEY_public_check()` ed `EVP_PKEY_generate()`.
Sono vulnerabili anche l'applicazione a riga di comando OpenSSL pkey quando si utilizza l'opzione "-pubcheck", nonché l'applicazione a riga di comando OpenSSL genpkey.
L'implementazione SSL/TLS di OpenSSL non è interessata da questo problema.
I provider FIPS per OpenSSL 3.0 e 3.1 non sono interessati da questo problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.