{"id":762553,"date":"2023-10-23T00:53:21","date_gmt":"2023-10-23T06:53:21","guid":{"rendered":"https:\/\/blogging-techies.com\/sw\/openssl-bugg-kan-tillata-hackare-att-lagga-tjansten-i-oandlig-dos-loop\/"},"modified":"2023-10-23T00:53:21","modified_gmt":"2023-10-23T06:53:21","slug":"openssl-bugg-kan-tillata-hackare-att-lagga-tjansten-i-oandlig-dos-loop","status":"publish","type":"post","link":"https:\/\/blogging-techies.com\/sw\/openssl-bugg-kan-tillata-hackare-att-lagga-tjansten-i-oandlig-dos-loop\/","title":{"rendered":"OpenSSL-bugg kan till\u00e5ta hackare att l\u00e4gga tj\u00e4nsten i o\u00e4ndlig DoS-loop"},"content":{"rendered":"

OpenSSL, ett popul\u00e4rt s\u00e4kert kommunikationsbibliotek, har uppt\u00e4ckts ha en bugg som kan s\u00e4tta tj\u00e4nsten i en o\u00e4ndlig DoS-loop.<\/strong><\/p>\n

Forskarna sa att felet \u00e4r relaterat till ett analysproblem inom vissa versioner av OpenSSL och kr\u00e4ver ett upps\u00e5tligt certifikat f\u00f6r att aktivera det. N\u00e4r detta \u00e4r gjort, s\u00e4tter det SSL-anslutningen i en \u00f6verbelastningsslinga. OpenSSL-teamet har sl\u00e4ppt patchar f\u00f6r detta problem och rekommenderar anv\u00e4ndare att anv\u00e4nda dem.<\/p>\n

<\/span>OpenSSL-tolkningsfel som orsakar DoS<\/strong><\/span><\/h2>\n

Denial of service (DoS) \u00e4r n\u00e5got som g\u00f6r att en legitim tj\u00e4nst blockeras p\u00e5 grund av skadliga handlingar som drivs av hotakt\u00f6rer, med m\u00e5let att blockera tj\u00e4nsten \u00e4ven f\u00f6r legitima anv\u00e4ndare. \u00c4ven om detta kanske inte utg\u00f6r en stor cybers\u00e4kerhetsrisk, kan det kosta dig en l\u00e5ngsiktig ekonomisk f\u00f6rlust och skada varum\u00e4rkets rykte.<\/p>\n

Och detta \u00e4r vad OpenSSL-anv\u00e4ndare kan m\u00f6ta om de inte fixar en nyligen uppt\u00e4ckt bugg. Uppt\u00e4ckt av Tavis Ormandy, en s\u00e4kerhetsforskare fr\u00e5n Google, kan s\u00e5rbarheten f\u00f6r certifikatskanning i OpenSSL orsaka betydande inverkan p\u00e5 alla f\u00f6retag som anv\u00e4nder den.<\/p>\n

Det var roligt att jobba med detta, @davidben__<\/a> hj\u00e4lpte till att sp\u00e5ra det tillbaka till en bugg i Tonelli-Shanks-implementeringen i OpenSSL. https:\/\/t.co\/AYvpBLwNvJ<\/p>\n

\u2014 Tavis Ormandy (@taviso) 15 mars 2022<\/a><\/p>\n

Senare noterades av OpenSSL-teamet, Felet hittades i funktionen BN_mod_sqrt() och kan utl\u00f6sas genom att \u00f6verl\u00e4mna ett upps\u00e5tligt skapat certifikat f\u00f6r att placera det i en o\u00e4ndlig denial of service-loop.<\/strong> Forskarna noterade att;<\/p>\n

Alla OpenSSL-versioner fr\u00e5n 1.0.2 till 1.0.2zc, 1.1.1 till 1.1.1n och 3.0 till 3.0.1 s\u00e4gs vara p\u00e5verkade av denna bugg.<\/strong> Och teamet har sl\u00e4ppt patchar f\u00f6r dem i form av 1.1.1n, 3.0.2 och 1.0.2zd endast f\u00f6r premiummedlemmar version 1.0.2. Detta beror p\u00e5 att 1.0.2 har n\u00e5tt EOL, s\u00e5 OpenSSL f\u00f6resl\u00e5r att du uppgraderar till en version som st\u00f6ds.<\/p>\n

Sp\u00e5rad som CVE-2022-0778 sa OpenSSL-teamet att de \u00e4nnu inte har hittat n\u00e5gon exploatering av denna bugg i naturen. Men Italiens nationella cybers\u00e4kerhetsbyr\u00e5, CSIRT, sa n\u00e5got annat, vilket OpenSSL-teamet senare f\u00f6rnekade.<\/p>\n