OpenSSL vá hai lỗ hổng nghiêm trọng cao CVE-2022-3602 và CVE-2022-3786

WhiteHat Team

Administrators
Thành viên BQT
09/04/2020
93
600 bài viết
OpenSSL vá hai lỗ hổng nghiêm trọng cao CVE-2022-3602 và CVE-2022-3786
OpenSSL vừa phát hành bản vá cho hai lỗ hổng nghiêm trọng cao trong thư viện mã nguồn mở được dùng để mã hóa các kênh giao tiếp và kết nối HTTPS.

Hai lỗ hổng CVE-2022-3602 (CVSS 9,8) và CVE-2022-3786 (CVSS 7,5) ảnh hưởng đến OpenSSL phiên bản 3.0.0 trở lên và đã được xử lý trong phiên bản OpenSSL 3.0.7. Trong đó mã khai thác cho CVE-2022-3602 đã được công bố.

detect-and-mitigate-openssl-vuln.jpg

CVE-2022-3602 là lỗi tràn bộ đệm ngăn xếp 4-byte tùy ý có thể gây sự cố hoặc dẫn đến thực thi mã từ xa (RCE). Còn CVE-2022-3786 có thể bị kẻ tấn công khai thác thông qua địa chỉ email độc hại để kích hoạt điều kiện từ chối dịch vụ.

OpenSSL cho biết: "Chúng tôi đánh giá đây là những lỗ hổng nghiêm trọng và người dùng bị ảnh hưởng được khuyến cáo nâng cấp lên phiên bản mới càng sớm càng tốt”.

Bên cạnh đó, OpenSSL cũng cung cấp các biện pháp giảm thiểu tạm thời và yêu cầu quản trị viên vận hành máy chủ TLS vô hiệu hóa xác thực TLS client.

Một số chuyên gia an ninh mạng và nhà cung cấp cho rằng lỗ hổng OpenSSL tương tự với Log4Shell (Apache Log4J), nhưng chỉ có khoảng 7.000 hệ thống được mở ra ngoài Internet đang chạy các phiên bản OpenSSL tồn tại lỗ hổng trong tổng số hơn 1.793.000 máy chủ duy nhất được Censys phát hiện trực tuyến. Trong khi đó Shodan thống kê khoảng 16.000 server sử dụng OpenSSL có thể truy cập công khai.

Hãng bảo mật cloud Wiz.io cũng cho biết chỉ 1,5% trong số tất cả các phiên bản OpenSSL bị ảnh hưởng bởi lỗ hổng này sau khi phân tích việc triển khai trên các môi trường cloud phổ biến (ví dụ: AWS, GCP, Azure, OCI và Alibaba Cloud).

 
Chỉnh sửa lần cuối:
Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
Thẻ
cve-2022-3602 cve-2022-3786 openssl
Bên trên