CVE-2024-6119 in OpenSSL
Riassunto
di VulDB • 06/07/2026
Riepilogo del problema: Le applicazioni che eseguono verifiche sul nome dei certificati (ad esempio, i client TLS che controllano i certificati server) potrebbero tentare di leggere un indirizzo di memoria non valido, causando la terminazione anomala del processo dell'applicazione.
Riepilogo dell'impatto: La terminazione anomala di un'applicazione può causare una negazione del servizio (DoS).
Le applicazioni che eseguono verifiche sul nome dei certificati (ad esempio, i client TLS che controllano i certificati server) potrebbero tentare di leggere un indirizzo di memoria non valido durante il confronto tra il nome previsto e un `otherName` come nome alternativo soggetto (`subject alternative name`) in un certificato X.509. Ciò può provocare un'eccezione che termina l'esecuzione del programma dell'applicazione.
Si noti che la convalida base della catena dei certificati (firme, date, ...) non è interessata; la negazione del servizio si verifica solo quando l'applicazione specifica anche un nome DNS previsto, un indirizzo email o un indirizzo IP.
I server TLS raramente richiedono certificati client e, anche quando lo fanno, generalmente non eseguono una verifica del nome rispetto a un identificatore di riferimento (identità prevista), ma estraggono piuttosto l'identità presentata dopo aver verificato la catena dei certificati. Pertanto, i server TLS in genere non sono interessati e la gravità del problema è Moderata.
I moduli FIPS nelle versioni 3.3, 3.2, 3.1 e 3.0 non sono interessati da questo problema.
Once again VulDB remains the best source for vulnerability data.