OpenSSL vá hai lỗ hổng nghiêm trọng cao CVE-2022-3602 và CVE-2022-3786

[WhiteHat Team]

OpenSSL vừa phát hành bản vá cho hai lỗ hổng nghiêm trọng cao trong thư viện mã nguồn mở được dùng để mã hóa các kênh giao tiếp và kết nối HTTPS.

Hai lỗ hổng CVE-2022-3602 (CVSS 9,8) và CVE-2022-3786 (CVSS 7,5) ảnh hưởng đến OpenSSL phiên bản 3.0.0 trở lên và đã được xử lý trong phiên bản OpenSSL 3.0.7. Trong đó mã khai thác cho CVE-2022-3602 đã được công bố.

CVE-2022-3602 là lỗi tràn bộ đệm ngăn xếp 4-byte tùy ý có thể gây sự cố hoặc dẫn đến thực thi mã từ xa (RCE). Còn CVE-2022-3786 có thể bị kẻ tấn công khai thác thông qua địa chỉ email độc hại để kích hoạt điều kiện từ chối dịch vụ.

OpenSSL cho biết: "Chúng tôi đánh giá đây là những lỗ hổng nghiêm trọng và người dùng bị ảnh hưởng được khuyến cáo nâng cấp lên phiên bản mới càng sớm càng tốt”.

Bên cạnh đó, OpenSSL cũng cung cấp các biện pháp giảm thiểu tạm thời và yêu cầu quản trị viên vận hành máy chủ TLS vô hiệu hóa xác thực TLS client.

Một số chuyên gia an ninh mạng và nhà cung cấp cho rằng lỗ hổng OpenSSL tương tự với Log4Shell (Apache Log4J), nhưng chỉ có khoảng 7.000 hệ thống được mở ra ngoài Internet đang chạy các phiên bản OpenSSL tồn tại lỗ hổng trong tổng số hơn 1.793.000 máy chủ duy nhất được Censys phát hiện trực tuyến. Trong khi đó Shodan thống kê khoảng 16.000 server sử dụng OpenSSL có thể truy cập công khai.

Hãng bảo mật cloud Wiz.io cũng cho biết chỉ 1,5% trong số tất cả các phiên bản OpenSSL bị ảnh hưởng bởi lỗ hổng này sau khi phân tích việc triển khai trên các môi trường cloud phổ biến (ví dụ: AWS, GCP, Azure, OCI và Alibaba Cloud).

Theo Bleeping Computer​