Lỗi phân tích cú pháp trong OpenSSL có thể gây từ chối dịch vụ

[WhiteHat News #ID:2112]

OpenSSL vừa phát hành bản cập nhật an ninh để giải quyết một lỗ hổng, nếu bị khai thác, có thể dẫn đến tình trạng bị từ chối dịch vụ.

Các cuộc tấn công từ chối dịch vụ có thể không phải là vấn đề tệ hại nhất khi nhắc đến các cuộc tấn công trên không gian mạng. Tuy nhiên, nó vẫn có thể gây ra gián đoạn kinh doanh, ảnh hưởng tài chính lâu dài và giảm uy tín thương hiệu. Đặc biệt là với OpenSSL, một thư viện giao tiếp an toàn phổ biến được nhiều nền tảng trực tuyến lớn sử dụng. Do đó, bất kỳ lỗ hổng nào ảnh hưởng đến thư viện này đều có thể tác động đáng kể đến lượng lớn người dùng.

Chứng chỉ gây ra DoS​

Lỗ hổng trong OpenSLL có mức nghiêm trọng cao, nằm ở một lỗi trên hàm BN_mod_sqrt(), nếu được cung cấp một chứng chỉ độc hại để phân tích cú pháp, nó sẽ bước vào vòng lặp vô hạn.

Chứng chỉ phải chứa khóa công khai đường cong elip ở dạng nén hoặc tham số đường cong elip với điểm cơ sở được mã hóa ở dạng nén để kích hoạt lỗ hổng.

Hãng cho biết: “Vì quá trình phân tích cú pháp chứng chỉ xảy ra trước khi xác minh chữ ký chứng chỉ, nên bất kỳ quá trình phân tích cú pháp chứng chỉ được cung cấp từ bên ngoài đều có thể bị tấn công từ chối dịch vụ. Vòng lặp cũng có thể đạt được khi phân tích cú pháp các khóa riêng tư được tạo thủ công vì chúng có thể chứa các tham số đường cong elip".

Sự cố ảnh hưởng đến một số kịch bản triển khai như:

• Máy khách TLS sử dụng chứng chỉ máy chủ
• Máy chủ TLS sử dụng chứng chỉ máy khách
• Nhà cung cấp dịch vụ lưu trữ lấy chứng chỉ hoặc khóa riêng tư từ khách hàng
• Cơ quan cấp chứng chỉ phân tích cú pháp các yêu cầu chứng chỉ từ người đăng ký
• Bất kỳ thứ gì khác phân tích cú pháp tham số đường cong elip ASN.1

CVE-2022-0778 ảnh hưởng các phiên bản OpenSSL 1.0.2 đến 1.0.2zc, 1.1.1 đến 1.1.1n và 3.0 đến 3.0.1. Nhà nghiên cứu Tavis Ormandy của Google đã phát hiện ra lỗ hổng và báo cáo cho OpenSSL vào ngày 24/2/2022.

Các phiên bản được phát hành bản vá ngày hôm qua là 1.1.1n và 3.0.2. Chỉ người dùng cao cấp của 1.0.2 mới được cung cấp bản sửa lỗi thông qua 1.0.2zd. Vì phiên bản 1.0.2 không phân tích cú pháp khóa công khai trong quá trình phân tích cú pháp chứng chỉ, nên việc kích hoạt vòng lặp vô hạn phức tạp hơn một chút so với các phiên bản khác, nhưng vẫn có thể thực hiện được.

OpenSSL 1.0.2 không còn được hỗ trợ nữa, vì vậy người dùng không trả phí nên nâng cấp lên nhánh phát hành mới càng sớm càng tốt.

Đã bị khai thác bởi kẻ xấu?​

Cơ quan an ninh mạng quốc gia của Ý - CSIRT đã đánh dấu lỗi này bị khai thác tích cực trong thực tế. Trong khi đó, OpenSSL không biết về bất kỳ hoạt động khai thác nào.

Theo OpenSSL: “Lỗ hổng này không quá khó để khai thác, nhưng chỉ gây ra DoS. Lỗ hổng chỉ trở nên nghiêm trọng hơn đối với một máy khách TLS truy cập vào máy chủ độc hại cung cấp chứng chỉ có vấn đề. Máy chủ TLS có thể bị ảnh hưởng nếu đang sử dụng xác thực máy khách (là một cấu hình ít phổ biến hơn) và một máy khách độc hại cố gắng kết nối với nó”.

Vì hầu hết người dùng nhận được OpenSSL từ bên thứ ba, nên không thể ước tính có bao nhiêu triển khai bị ảnh hưởng bởi lỗ hổng này.

Bleepingcomputer​