OpenSSL 1.1.1 < 1.1.1u 多个漏洞

medium Nessus 插件 ID 173260

简介

远程服务受到多个漏洞的影响。

描述

远程主机上安装的 OpenSSL 版本低于 1.1.1u。因此,如公告 1.1.1u 所述,该主机受到多个漏洞的影响。

- 经记载,函数 X509_VERIFY_PARAM_add0_policy() 在执行证书验证时会隐式启用证书策略检查。但是,该函数的实现并未启用允许包含无效或不正确策略的证书通过证书验证的检查。
由于突然启用策略检查可能会中断现有部署,因此决定保留 X509_VERIFY_PARAM_add0_policy() 函数的现有行为。相反,需要 OpenSSL 执行证书策略检查的应用程序需要使用 X509_VERIFY_PARAM_set1_policies() 或通过使用 X509_V_FLAG_POLICY_CHECK 标记参数调用 X509_VERIFY_PARAM_set_flags() 来显式启用策略检查。
证书策略检查在 OpenSSL 中默认禁用,而在应用程序则不常用。
(CVE-2023-0466)

- 在所有受支持的 OpenSSL 版本中发现一个与验证包含策略限制条件的 X.509 证书链相关的安全漏洞。攻击者可能通过创建触发指数级计算资源使用的恶意证书链来会利用此漏洞,进而对受影响的系统发起拒绝服务 (DoS) 攻击。策略处理默认处于禁用状态,但可以通过将 -policy 参数传递给命令行实用工具或者调用 X509_VERIFY_PARAM_set1_policies() 函数来启用。(CVE-2023-0464)

- 验证证书时使用非默认选项的应用程序可能容易受到恶意 CA 的攻击,从而规避某些检查。OpenSSL 以静默的方式忽略叶证书中的无效证书策略,并跳过该证书的其他证书策略检查。恶意 CA 可利用此缺陷故意断言证书策略无效,从而完全避开对证书的策略检查。策略处理默认处于禁用状态,但可以通过将 -policy 参数传递给命令行实用工具或者调用 X509_VERIFY_PARAM_set1_policies() 函数来启用。(CVE-2023-0465)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级到 OpenSSL 1.1.1u 或更高版本。

另见

http://www.nessus.org/u?2b09deba

https://www.cve.org/CVERecord?id=CVE-2023-0465

https://www.openssl.org/news/secadv/20230328.txt

https://www.openssl.org/policies/secpolicy.html

http://www.nessus.org/u?1b17844f

https://www.cve.org/CVERecord?id=CVE-2023-0466

http://www.nessus.org/u?0f79dd95

https://www.cve.org/CVERecord?id=CVE-2023-0464

https://www.openssl.org/news/secadv/20230322.txt

插件详情

严重性: Medium

ID: 173260

文件名: openssl_1_1_1u.nasl

版本: 1.9

类型: combined

代理: windows, macosx, unix

系列: Web Servers

发布时间: 2023/3/22

最近更新时间: 2023/8/10

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

CVSS 分数来源: CVE-2023-0466

CVSS v3

风险因素: Medium

基本分数: 5.3

时间分数: 4.6

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:openssl:openssl

必需的 KB 项: installed_sw/OpenSSL

易利用性: No known exploits are available

补丁发布日期: 2023/3/21

漏洞发布日期: 2023/3/21

参考资料信息

CVE: CVE-2023-0464, CVE-2023-0465, CVE-2023-0466

IAVA: 2023-A-0158-S