OpenSSL 3.0 - Tổng hợp lỗ hổng CVE-2022-3602, CVE-2022-3786 và biện pháp ứng phó

 (asecurity.dev)
8 điểm bởi regentag 2022-11-02 | 3 bình luận | Chia sẻ qua WhatsApp
  • Lỗ hổng được công bố lần này liên quan đến tràn bộ đệm địa chỉ email X.509
  • Có thể xảy ra khi chứng chỉ chứa địa chỉ email được mã hóa bằng Punycode đã được chế tác đặc biệt để kích hoạt tràn bộ đệm
  • Khi mới được công bố, mức độ được xếp là Critical, nhưng đến ngày 1 tháng 11 đã được hạ xuống High
    • Đã xác nhận rằng đây gần với lỗ hổng DoS (từ chối dịch vụ) hơn là RCE (Remote Command Execution, thực thi từ xa), nên mức độ rủi ro đã được điều chỉnh

Bài viết liên quan

3 bình luận

 
richardk 2022-11-03

Các dịch vụ AWS không bị ảnh hưởng và không cần khách hàng thực hiện bất kỳ hành động nào.

https://aws.amazon.com/security/security-bulletins/AWS-2022-008/
 
alus20x 2022-11-02

Cảm ơn vì phần tóm tắt!
Ở dòng thứ 4, chữ viết tắt cho thực thi từ xa là RCE, nhưng đang bị gõ nhầm thành REC.