PT-2024-4664 · Openssl+10 · Openssl+10
Matt Caswell
+2
·
Publicado
2024-05-10
·
Atualizado
2026-06-16
·
CVE-2024-4741
CVSS v2.0
7.6
Alta
| Vetor | AV:N/AC:H/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas:
Versões do OpenSSL anteriores à 3.3 (os módulos FIPS nas versões 3.3, 3.2, 3.1 e 3.0 não são afetados)
Descrição:
O problema está relacionado à função
SSL free buffers no OpenSSL, que pode permitir o acesso à memória após ela ter sido liberada em determinadas situações. Isso pode levar à corrupção de dados válidos, falhas no sistema ou execução de código arbitrário. A função é usada para liberar o buffer interno do OpenSSL ao processar um registro recebido da rede. No entanto, foram identificados dois cenários em que o buffer é liberado mesmo quando ainda está em uso. Um invasor mal-intencionado poderia tentar criar uma situação em que isso ocorra, embora não haja conhecimento de que essa vulnerabilidade esteja sendo explorada ativamente.Recomendações:
Como solução temporária, considere desativar a função
SSL free buffers até que um patch esteja disponível.Restrinja o acesso à função
SSL free buffers vulnerável para minimizar o risco de exploração.Evite usar a função
SSL free buffers em aplicativos que a chamam diretamente, pois esses são os únicos aplicativos afetados por este problema.No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
DoS
Use After Free
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Ibm Aix
Linuxmint
Openssl
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu