OpenSSL até 1.0.2zc/1.1.1m/3.0.1 Non-prime Moduli BN_mod_sqrt Negação de Serviço

Sumárioinformação

Uma vulnerabilidade foi encontrada em OpenSSL até 1.0.2zc/1.1.1m/3.0.1. Foi declarada como crítico. O elemento afetado é a função BN_mod_sqrt no componente Non-prime Moduli Handler. A manipulação com uma entrada desconhecida leva a Negação de Serviço. Esta vulnerabilidade é identificada como CVE-2022-0778. O ataque pode ser levado a cabo através da rede. Não existe nenhum exploit disponível. Recomenda-se a atualização do componente afetado.

Detalhesinformação

Uma vulnerabilidade foi encontrada em OpenSSL até 1.0.2zc/1.1.1m/3.0.1. Foi declarada como crítico. O elemento afetado é a função BN_mod_sqrt no componente Non-prime Moduli Handler. A manipulação com uma entrada desconhecida leva a Negação de Serviço. Usar a CWE para declarar o problema leva à CWE-835. A fraqueza foi publicada 15/03/2022. O comunicado foi disponibilizado para download em openssl.org.

Esta vulnerabilidade é identificada como CVE-2022-0778. A atribuição do identificador CVE aconteceu em 28/02/2022. O ataque pode ser levado a cabo através da rede. Há detalhes técnicos disponíveis. Esta vulnerabilidade apresenta popularidade inferior à média. Não existe nenhum exploit disponível. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente. O projeto MITRE ATT&CK declara a técnica de ataque como T1499.

É declarado como não definido. Como 0-day, o valor estimado no submundo era aproximadamente $5k-$25k. O scanner de vulnerabilidades Nessus fornece um plugin com o ID 209854.

Atualizar para a versão 1.0.2zd, 1.1.1n e 3.0.2 pode resolver este problema. O patch chama-se 3118eb64934499d93db3230748a452351d1d9a65. O patch pode ser baixado em git.openssl.org. Recomenda-se a atualização do componente afetado.

Outros bancos de dados de vulnerabilidades também documentam esta vulnerabilidade: Tenable (209854).

Produtoinformação

Tipo

• Network Encryption Software

Nome

• OpenSSL

Versão

• 1.0.2za
• 1.0.2zb
• 1.0.2zc
• 1.1.1
• 1.1.1a
• 1.1.1b
• 1.1.1c
• 1.1.1d
• 1.1.1e
• 1.1.1f
• 1.1.1g
• 1.1.1h
• 1.1.1i
• 1.1.1j
• 1.1.1k
• 1.1.1l
• 1.1.1m
• 3.0.0
• 3.0.1

Licença

• código aberto

Site

• Produto: https://www.openssl.org/

CPE 2.3informação

• 🔍
• 🔍
• 🔍

CPE 2.2informação

• 🔍
• 🔍
• 🔍

CVSSv4informação

CVSSv3informação

CVSSv2informação

Exploraçãoinformação

Inteligência de ameaçasinformação

Contramedidasinformação

Linha do tempoinformação

Fontesinformação

Entradainformação

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Discussão