PT-2021-3610 · Openssl+12 · Openssl+12
Paul Kehrer
·
Publicado
2020-01-24
·
Atualizado
2026-04-27
·
CVE-2021-23840
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões 1.1.1i e anteriores do OpenSSL
Versões 1.0.2x e anteriores do OpenSSL
Descrição
O problema está relacionado às funções
EVP CipherUpdate, EVP EncryptUpdate e EVP DecryptUpdate no OpenSSL, que podem causar estouro do argumento de comprimento de saída quando o comprimento de entrada estiver próximo do comprimento máximo permitido para um inteiro na plataforma. Isso pode fazer com que os aplicativos apresentem comportamento incorreto ou travem. O problema se deve a um estouro de inteiro, o que pode levar a um valor negativo para o comprimento de saída, mesmo que a chamada de função retorne um indicador de sucesso.Recomendações
Para as versões 1.1.1i e anteriores do OpenSSL, atualize para o OpenSSL 1.1.1j.
Para as versões 1.0.2x e anteriores do OpenSSL, os clientes com suporte premium devem atualizar para a versão 1.0.2y, enquanto os demais usuários devem atualizar para a versão 1.1.1j.
Como solução temporária, considere restringir o uso das funções vulneráveis
EVP CipherUpdate, EVP EncryptUpdate e EVP DecryptUpdate até que um patch esteja disponível.Exploit
Correção
DoS
Integer Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Freebsd
Ibm Aix
Linuxmint
Openssl
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu