【误差通告】OpenSSL 5月多个清静误差
宣布时间 2022-05-160x00 误差概述
2022年5月3日，，，，，，， ，OpenSSL项目宣布清静通告，，，，，，， ，修复了OpenSSL中的多个清静误差，，，，，，， ，这些误差可能导致下令执行和拒绝效劳等。。。。。。。
0x01 误差详情
OpenSSL是用于传输层清静 (TLS) 协议的强盛、商业级、功效齐全的开源工具包，，，，，，， ，用于通用加密和清静通讯。。。。。。。
本次修复的4个清静误差如下：
l CVE-2022-1292：OpenSSL下令注入误差 （中危）
由于c_rehash 剧本没有准确整理 shell 元字符导致下令注入，，，，，，， ，可以使用该误差在未授权的情形下以剧本的权限执行恣意下令。。。。。。。
l CVE-2022-1343：OpenSSL过失验证响应署名证书（中危）
由于OCSP_basic_verify函数在验证某些署名证书时保存过失，，，，，，， ，可使用该误差在未授权的情形下执行证书诱骗攻击，，，，，，， ，最终导致不法响应署名证书验证乐成。。。。。。。
l CVE-2022-1434：OpenSSL加密过失误差（低危）
由于RC4-MD5 密码套件的 OpenSSL 3.0 实现过失地使用了AAD 数据作为 MAC 密钥，，，，，，， ，这使得 MAC 密钥可以被展望。。。。。。�？ ？？？梢允褂酶梦蟛钤谖词谌ǖ那樾蜗轮葱兄行娜斯セ鳌⑿薷耐ㄑ妒莸�，，，，，，， ，但无法对数据举行解密。。。。。。。
l CVE-2022-1473：OpenSSL拒绝效劳误差（低危）
用于清空哈希表的 OPENSSL_LH_flush() 函数保存过失，，，，，，， ，在解码证书或密钥时内存使用量将无限扩大，，，，，，， ，历程可能被系统终止，，，，，，， ，导致拒绝效劳。。。。。。。
影响规模
CVE-ID | 影响版本 | 修复版本 |
CVE-2022-1292 | OpenSSL 1.0.2-1.0.2zd OpenSSL 1.1.1-1.1.1n OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 1.0.2：升级至 1.0.2ze（仅限高级支持客户） OpenSSL 1.1.1：升级至 1.1.1o OpenSSL 3.0 ：升级至 3.0.3 |
CVE-2022-1343 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升级到 3.0.3 |
CVE-2022-1434 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升级到 3.0.3 |
CVE-2022-1473 | OpenSSL 3.0.0、3.0.1、3.0.2 | OpenSSL 3.0 ：升级到 3.0.3 |
0x02 处置惩罚建议
现在OpenSSL项目已经修复了这些误差，，，，，，， ，受影响的用户可以参考上表实时更新到响应修复版本。。。。。。。
下载链接：
https://www.openssl.org/source/
0x03 参考链接
https://mta.openssl.org/pipermail/openssl-announce/2022-May/000224.html
https://nvd.nist.gov/vuln/detail/CVE-2022-1292
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2022-05-16 | 首次宣布 |
0x05 附录
凯发k8简介
凯发k8公司建设于1996年，，，，，，， ，并于2010年6月23日在深交所中小板正式挂牌上市，，，，，，， ，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。。。。。
公司总部位于北京市中关村软件园，，，，，，， ，在天下各省、市、自治区设有分支机构，，，，，，， ，拥有笼罩天下的渠道系统和手艺支持中心，，，，，，， ，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。。。。。
多年来，，，，，，， ，凯发k8致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，，，，， ，资助客户周全提升其IT基础设施的清静性和生产效能，，，，，，， ，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。。
关于凯发k8
凯发k8清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。。。
关注以下公众号，，，，，，， ，获取全球最新清静资讯：
京公网安备11010802024551号