PT-2022-2684 · Openssl+4 · Openssl+4
Tom Colley
·
Publicado
2022-04-14
·
Atualizado
2024-06-15
·
CVE-2022-1434
CVSS v3.1
5.9
Média
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões 3.0.0 a 3.0.2 do OpenSSL
Descrição
A implementação do OpenSSL 3.0 do conjunto de criptografia RC4-MD5 utiliza incorretamente os dados AAD como chave MAC, tornando a chave MAC facilmente previsível. Um invasor poderia explorar essa vulnerabilidade realizando um ataque man-in-the-middle para modificar os dados enviados de um terminal para um destinatário OpenSSL 3.0, de modo que os dados modificados ainda passassem pela verificação de integridade MAC. Observe que os dados enviados de um terminal OpenSSL 3.0 para um terminal que não seja OpenSSL 3.0 serão sempre rejeitados pelo destinatário e a conexão falhará nesse ponto. Muitos protocolos de aplicação exigem que os dados sejam enviados primeiro do cliente para o servidor. Portanto, nesse caso, apenas um servidor OpenSSL 3.0 seria afetado ao se comunicar com um cliente que não seja OpenSSL 3.0. Se ambos os terminais forem OpenSSL 3.0, o invasor poderá modificar os dados enviados em ambas as direções. Nesse caso, tanto os clientes quanto os servidores poderão ser afetados, independentemente do protocolo de aplicação. A confidencialidade dos dados não é afetada por esse problema, ou seja, um invasor não pode descriptografar dados que tenham sido criptografados usando esse conjunto de cifras — ele só pode modificá-los.
Recomendações
Para resolver o problema, atualize para a versão 3.0.3 ou posterior do OpenSSL.
Para as versões 3.0.0, 3.0.1 e 3.0.2, considere desativar o conjunto de criptografia RC4-MD5 como uma solução temporária até que um patch esteja disponível.
Restrinja o acesso ao conjunto de criptografia vulnerável para minimizar o r
Exploit
Correção
Use of a Broken Cryptographic Algorithm
Use of Insufficiently Random Values
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Linuxmint
Openssl
Red Os
Suse
Ubuntu