OpenSSL X.509 电子邮件地址缓冲区溢出漏洞通告

Release Date ： 2022-11-02 16:57:50 Update Date ： 2022-11-02 18:34:53 Author ：

【Abstract】近日，华为感知到OpenSSL官方发布安全公告，修复了2个位于X.509证书验证功能中的高危漏洞CVE-2022-3786和CVE-2022-3602。

漏洞概述

近日，华为感知到OpenSSL官方发布安全公告，修复了2个位于X.509证书验证功能中的高危漏洞CVE-2022-3786和CVE-2022-3602。

这两个漏洞位于X.509证书验证的名称约束检查函数中，在OpenSSL配置了TLS客户端认证的前提下，通过发送特殊构造的TLS数据包，可导致缓冲区溢出，造成拒绝服务。在某些特定情况下，可能会导致远程代码执行。鉴于漏洞危害较大，建议广大用户尽快升级，避免遭受黑客的攻击。

关键信息

标题	内容
漏洞编号	CVE-2022-3786/CVE-2022-3602
评分	暂无
漏洞名称	OpenSSL X.509 电子邮件地址缓冲区溢出漏洞
类型	缓冲区溢出
漏洞利用条件和危害	在OpenSSL配置了TLS客户端认证的前提下，通过发送特殊构造的TLS数据包，可导致缓冲区溢出
远程利用	是
攻击复杂度	中
PoC/EXP	未知
在野利用	未知

受影响的版本

- OpenSSL 3.0.0 到 3.0.6

解决方案

1. 华为解决方案

华为在感知到该漏洞信息以后，安全研究人员持续关注相关信息，复现漏洞，并针对CVE-2022-3602开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。

标题	内容	备注
IPS签名库版本	20221101**	**不同型号库的编码，日期比这个新的版本都可以防护此漏洞
签名ID	725660/725661：OpenSSL X.509 CVE-2022-3602 电子邮件地址缓冲区溢出漏洞
支持的设备类型	USG 6000/6000E/9000系列，Eudemon 1000E/8000E/9000E系列，NIP6000系列，IPS6000/12000以上系列产品	具体情况，请参考IPS签名库下载网址
设备自动升级	联网设备可以自动升级，无需人工操作	可以在设备上查看IPS签名库版本是否已经升级到最新。
设备手动升级	从https://isecurity.huawei.com/sec/web/freesignature.do网站下载对应的离线升级包，手工加载到设备。

2. 厂商解决方案

官方已修复漏洞，可以升级到OpenSSL 3.0.7或更高版本：

https://www.openssl.org/news/secadv/20221101.txt

参考链接

https://www.openssl.org/news/secadv/20221101.txt

https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/

【Copyright Notice】 This article is the original content of HUAWEI Security Center. When reprinting, you must indicate the source (HUAWEI Security Center), link and author of the article, otherwise you may be held liable.If you find any suspected infringing content on this website, please visit the Feedback page to report and provide relevant evidence. Once verified, we will immediately remove the allegedly infringing content.

BackTop

Comment

0	0
Like	Disagree

Security Notice

Research

Signature Update

Knowledge Base Query

Intelligence Query

FireHunter-Cloud FireHunter-Cloud

My Device

Support

OpenSSL X.509 电子邮件地址缓冲区溢出漏洞通告

漏洞概述

关键信息

受影响的版本

解决方案

参考链接