OpenSSL OCSP响应检查内存泄漏漏洞(CVE-2023-54876)安全公告

OpenSSL 安全公告 [2023年8月15日] 客户端侧内存泄漏在 OCSP 响应检查中 (CVE-2023-54876) 严重性：低 问题摘要： 恶意 TLS 服务器可以通过发送包含无单个响应条目的 OCSP 响应，导致启用 OCSP 响应检查的 TLS 服务器发生内存泄漏。 影响摘要： 攻击者可以泄漏受害者客户端应用程序中可调整数量的内存。长期运行的客户端如果反复连接到恶意服务器，可能会耗尽内存，导致拒绝服务。 CWE：CWE-401：有效生命周期后内存未释放 描述： 当启用 OCSP 响应检查时，调用受影响的函数。例如，当 TLS 客户端验证服务器链中的证书时，使用 X509_V_FLAG_OCSP_RESP_CHECK 或 X509_V_FLAG_OCSP_RESP_ALL 验证标志。 当收到的 BasicOCSPResponse 包含空的 SingleResponse 序列时，允许在网络上并被 OpenSSL 解码器接受，OCSP_BASICRESP 结构分配的内存由于 OCSP 响应 get_basic1() 未释放，因为早期返回绕过了清理代码。 攻击者可以通过在 BasicOCSPResponse 的证书字段中填充额外的 OCSPResponse 来放大每次握手泄漏的内存量，这些证书被解析并存储在泄漏的内存结构中，直到 OCSP 响应检查触发早期返回。长期运行的 TLS 客户端如果反复连接到恶意服务器，可能会耗尽内存。 OCSP 响应检查默认未启用。只有明确启用 OCSP 响应检查验证标志的客户端应用程序受到影响。 FIPS 影响：无 FIPS 模块在 4.0 和 3.6 中不受此问题影响，因为受影响的代码位于 OpenSSL FIPS 模块边界之外。 受影响的版本： OpenSSL 3.5、3.4、3.0、3.1、3.2 和 3.3 易受此问题影响，因为受影响的功能在这些版本中不存在。 修复方案： OpenSSL 4.0 用户应升级到 OpenSSL 4.0.2 发布后。 OpenSSL 3.6 用户应升级到 OpenSSL 3.6.4 发布后。 由于此问题的严重性较低，我们不会发布 OpenSSL 的新版本。修复将包含在 4.0 和 3.6 分支的下一个发布中，一旦可用。修复也包含在 commit d8c3104（针对 4.0）和 commit 15595fe（针对 3.6）中，在 OpenSSL git 仓库中。 此问题于 2024 年 6 月 15 日由 Bhabani Sankar Das 报告，并于 2024 年 6 月 19 日由 Zhenghe Shen 独立报告。修复由 Mounir Idrissi 开发。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

OpenSSL OCSP响应检查内存泄漏漏洞(CVE-2023-54876)安全公告

目标达成感谢每一位支持者 — 我们达成了 100% 目标！