PT-2020-6862 · Openssl+12 · Openssl+12
Dmitry Belyavsky
+1
·
Publicado
2020-07-14
·
Atualizado
2026-05-21
·
CVE-2022-4304
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
OpenSSL (versões afetadas não especificadas)
Descrição
Existe um canal lateral baseado em tempo na implementação de descriptografia RSA do OpenSSL, o que poderia ser suficiente para recuperar um texto simples através de uma rede em um ataque do tipo Bleichenbacher. Para realizar uma descriptografia bem-sucedida, um invasor teria que ser capaz de enviar um número muito grande de mensagens de teste para descriptografia. A vulnerabilidade afeta todos os modos de preenchimento RSA: PKCS#1 v1.5, RSA-OEAP e RSASVE. Por exemplo, em uma conexão TLS, o RSA é comumente usado por um cliente para enviar um segredo pré-mestre criptografado ao servidor. Um invasor que tivesse observado uma conexão genuína entre um cliente e um servidor poderia usar essa falha para enviar mensagens de teste ao servidor e registrar o tempo gasto para processá-las. Após um número suficientemente grande de mensagens, o invasor poderia recuperar o segredo pré-mestre usado para a conexão original e, assim, ser capaz de descriptografar os dados da aplicação enviados por essa conexão.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
DoS
Double Free
NULL Pointer Dereference
Side Channel Attack
Incorrect Type Conversion or Cast
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Freebsd
Ibm Aix
Linuxmint
Openssl
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu