【低危】OpenSSL 拒绝服务漏洞

漏洞描述

OpenSSL 是广泛使用的开源加密库。 在 OpenSSL 3.0.0 到 3.0.12, 3.1.0 到 3.1.4 和 3.2.0 中 ,使用函数 EVP_PKEY_public_check() 来检查 RSA 公钥的应用程序可能会遇到长时间延迟。如果检查的密钥是从不可信任的来源获取的,这可能会导致拒绝服务。

其他 OpenSSL 函数不会调用 EVP_PKEY_public_check()函数,但会在 OpenSSL pkey 命令行应用程序中调用。如果使用 "-pubin " 和 "-check " 选项时,该应用程序也会受到攻击。

OpenSSL SSL/TLS 实现不受此问题影响。

此问题影响OpenSSL 3.0和3.1的FIPS提供商。

漏洞名称 OpenSSL 拒绝服务漏洞
漏洞类型 对因果或异常条件的不恰当检查
发现时间 2024/1/16
漏洞影响广度 一般
MPS编号 MPS-x84n-ctrf
CVE编号 CVE-2023-6237
CNVD编号 -

影响范围

openssl@[3.0.0, 3.0.12]

openssl@[3.1.0, 3.1.4]

openssl@[3.2.0, 3.2.0]

openssl@影响所有版本

openssl@影响所有版本

github.com/openssl/openssl@[3.0.0, 3.0.12]

github.com/openssl/openssl@[3.2.0, 3.2.0]

github.com/openssl/openssl@[3.1.0, 3.1.4]

修复方案

升级 github.com/openssl/openssl 到 a830f551 commit

升级 openssl 到 18c02492 commit

升级 openssl 到 a830f551 commit

升级 openssl 到 0b0f7abf commit

升级 github.com/openssl/openssl 到 18c02492 commit

升级 github.com/openssl/openssl 到 0b0f7abf commit

参考链接

OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

https://www.openssl.org/news/secadv/20240115.txt

https://github.com/openssl/openssl/commit/0b0f7abf

https://github.com/openssl/openssl/commit/a830f551

https://github.com/openssl/openssl/commit/18c02492

NVD - CVE-2023-6237

关于墨菲安全

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司,核心团队来自于百度、华为、乌云等企业,旗下的 MurphySec 软件供应链安全平台提供资产识别管理、风险检测、安全控制、一键修复等能力。

免费漏洞情报订阅

平台会通过实时监控多方渠道并进行人工分析,一手情报订阅地址:OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

免费代码安全检测工具

丰富的漏洞库及强大的检测能力,杜绝漏洞带来的风险隐患,工具地址: 墨菲安全 | 为您提供专业的软件供应链安全管理

开源项目

核心检测能力已开源,欢迎各位同学 Star⭐️

https://github.com/murphysecurity/murphysec/?sf=qbyj

相关推荐
中云DDoS CC防护蔡蔡4 小时前
微信小程序被攻击怎么选择高防产品
服务器·网络安全·微信小程序·小程序·ddos
.Ayang12 小时前
SSRF漏洞利用
网络·安全·web安全·网络安全·系统安全·网络攻击模型·安全架构
.Ayang12 小时前
SSRF 漏洞全解析(概述、攻击流程、危害、挖掘与相关函数)
安全·web安全·网络安全·系统安全·网络攻击模型·安全威胁分析·安全架构
风间琉璃""14 小时前
二进制与网络安全的关系
安全·机器学习·网络安全·逆向·二进制
Che_Che_15 小时前
Cross-Inlining Binary Function Similarity Detection
人工智能·网络安全·gnn·二进制相似度检测
恃宠而骄的佩奇16 小时前
i春秋-签到题
web安全·网络安全·蓝桥杯
follycat17 小时前
信息收集--CDN绕过
网络·安全·网络安全
清风.春不晚20 小时前
shell脚本2---清风
网络·网络安全
Wh1teR0se1 天前
[极客大挑战 2019]Secret File--详细解析
前端·web安全·网络安全