The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Уязвимость в OpenSSL 3.0.4, приводящая к удалённому повреждению памяти процесса"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Уязвимость в OpenSSL 3.0.4, приводящая к удалённому повреждению памяти процесса"  +/
Сообщение от opennews (ok), 27-Июн-22, 22:28 
В криптографической библиотеке OpenSSL выявлена уязвимость (CVE пока не назначен), при помощи которой удалённый атакующий может повредить содержимое памяти процесса через отправку специальной оформленных данных в момент установки TLS-соединения. Пока не ясно, может ли проблема привести к выполнению кода атакующего и утечке данных из памяти процесса, или она ограничивается только аварийным завершением работы...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57415

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


1. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –9 +/
Сообщение от QwertyReg (ok), 27-Июн-22, 22:28 
> исправлением
>     OPENSSL_cleanse(storage, sizeof(storage));
>    OPENSSL_cleanse(tmp, sizeof(tmp));

Сишное переполнение?! Как неожиданно!

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +5 +/
Сообщение от Аноним (23), 28-Июн-22, 01:31 
Я бы скорее сказал "openssl-щики опять нагамнокодили". При том как видим - только они. С очередным "улучшением" их чудной высококачественной либы.

И поверьте, качество и компетентность кодеров этой гадости лезет не только в этом. Эти утырки при запросе хардварной акселерации напрямую RNG проца выгружают, codename фичи, очевидно, "NSA FTW". И это типа не баг у них. Более того, они и чисто логические баги зачотные фигачили, типа проехавшей валидации с ... абсолютно левым ключом. И от этого никакой хруст или что там еще не поможет. В общем вон тем господам противопоказано своими лапками крипто трогать.

Ответить | Правка | Наверх | Cообщить модератору

29. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –5 +/
Сообщение от Fracta1L (ok), 28-Июн-22, 07:49 
> При том как видим - только они

Действительно, в других сишных прогах же не бывает дыр из-за переполнения 😆

Ответить | Правка | Наверх | Cообщить модератору

30. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (-), 28-Июн-22, 08:54 
С другой стороны, у конкретно openssl'щиков такой ассортимент ситостроения, что переполнения там лишь одна из многочисленных проблем. И даже если от нее отделаться, это не сильно поможет данным господам. В последнее время, кстати, переполнения у них довольно редко бывают. Не мешает патчам на эту гамнолибу стабильно валиться минмум раз в месяц с дюжинами других CVE всех мастей и направлений.

p.s. а ты можешь уже морально готовиться канпилять хруст при сборен ядра, "девочка имела счастье" :)))

Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –2 +/
Сообщение от Аноним (41), 28-Июн-22, 16:40 
Действительно в растовых прогах дыр же не бывает.  
Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

47. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Анонн (?), 28-Июн-22, 19:28 
Ну да, про кого еще вспомнить когда сишники обoс##лись
Ответить | Правка | Наверх | Cообщить модератору

50. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (-), 28-Июн-22, 19:31 
Угу, а до этого нагамнокодили писаЙтели ядра, а до них BFS, а до них zip, а до них... да тут каждую неделю кто в очередной раз не сумел в работу с памятью
Развелось гамнакодеров!
Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

4. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (4), 27-Июн-22, 23:05 
>ошибки в коде, в результате которого может быть перезаписано или прочитано до 8192 байт данных за пределами выделенного буфера.

HeartBleed 2.0?

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +2 +/
Сообщение от Аноним (8), 27-Июн-22, 23:30 
3 нигде не используется ещё. Предусмотрительно сломали совместимость, молодцы.
Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +1 +/
Сообщение от Аноним (8), 27-Июн-22, 23:31 
Кстати, меньше чем за неделю нашли?
Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (15), 27-Июн-22, 23:51 
В последнем релизе Ubuntu OpenSSL 3.0.2.
Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

16. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (8), 27-Июн-22, 23:53 
Софт-то не жалуется? https://bugs.gentoo.org/797325
Ответить | Правка | Наверх | Cообщить модератору

19. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +1 +/
Сообщение от Аноним (15), 28-Июн-22, 00:15 
Посмотрел несколько ошибок, фиксятся тривиально. На "сломали совместимость" всё-таки не тянет, просто удалили несколько депрекейтнутых функций или дефайнов. Например, относящихся к SSL 2.0. Некоторые ошибки - попытка неправильно вызывать новые функции OpenSSL 3, с неправильным количеством параметров. В Убунте эти ошибки не проявляются. Либо мейнтейнеры пофиксили, либо апстрим. В Генте, получается, проявляются, ибо софт собирается на машине пользователя.
Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (15), 27-Июн-22, 23:55 
> Предусмотрительно сломали совместимость, молодцы.

Тут ты зря. Много чего deprecated, но все ещё работает.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

12. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +1 +/
Сообщение от кубрик (?), 27-Июн-22, 23:39 
Нет. Прикинь. Ниразу не сишное.

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

6. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (6), 27-Июн-22, 23:16 
>некорректным исправлением ошибки в коде

Как-же уже ДОСТАЛИ эти коновалы из openssl! Они умеют только несовместимо менять API каждые 2 года

Ответить | Правка | Наверх | Cообщить модератору

7. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –5 +/
Сообщение от ИмяХ (?), 27-Июн-22, 23:23 
Учись постоянно, и тогда мозги у тебя будут всегда нормальные.
Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +6 +/
Сообщение от Аноним (6), 27-Июн-22, 23:39 
>Учись постоянно, и тогда мозги у тебя будут всегда нормальные.

Каждые 2 года менять расположение педалей и приборов в автомобиле для поддержания мозгового тонуса. Нормально? Ну-ну...

Ответить | Правка | Наверх | Cообщить модератору

20. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (15), 28-Июн-22, 00:18 
Почему несовместимо? SSL_connect() всё с теми же параметрами вызывается.
Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

24. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –1 +/
Сообщение от Аноним (23), 28-Июн-22, 01:32 
А теперь попробуй какую-то реалистичную программу без патчинга собрать, тогда и узнаешь почему. При том ладно б апи вменяемее стал, но ведь как был полный булшит так и остался.
Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (15), 28-Июн-22, 02:32 
Ну вот Apache собирается c OpenSSL 3. Без патчинга, да. Достаточно реалистичная программа?

Можешь сказать, какие *важные* API в OpenSSL 3 несовместимо поменяли? Я тебе привёл пример довольно важного API, SSL_connect(), которое не поменяли. Приведи тоже пример важного API, которое поменяли, при чём несовместимо.

Ответить | Правка | Наверх | Cообщить модератору

31. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –1 +/
Сообщение от Аноним (-), 28-Июн-22, 08:57 
Он без патчинга собирается только потому что патчинг его кодеры вместо вас отпедалили. А еще, только подумайте, булки не растут на деревьях.
Ответить | Правка | Наверх | Cообщить модератору

37. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (15), 28-Июн-22, 12:58 
Ещё раз для специалистов по булкам. Apache с офсайта, вот этот файл: https://dlcdn.apache.org/httpd/httpd-2.4.54.tar.gz, собирается с OpenSSL 3 без патчей.

И как там насчёт конкретики? Какие *важные* API в OpenSSL 3 несовместимо поменяли? Я привёл пример довольно важного API, SSL_connect(), которое не поменяли. Приведи тоже пример важного API, которое поменяли, при чём несовместимо.

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (6), 27-Июн-22, 23:36 
Главная беда: у openssl нет альтернатив.
GnuTLS - ожирел до невозможности, плюс куча внешних зависимостей. NSS - не менее монструозен и похоже умирает потихоньку. LibreSSL (а какая классная идея была!) - остается маргинальным и тоже умирает (потеряли титульного спонсора). Остальная братия еще более маргинальная
Ответить | Правка | Наверх | Cообщить модератору

14. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +1 +/
Сообщение от Аноним (8), 27-Июн-22, 23:51 
А в чём беда? Прекрасная либа, все программы на свете, кроме разве что браузеров, пользуются именно ей. Браузеры пользуются её форками.
Ответить | Правка | Наверх | Cообщить модератору

46. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Ан (??), 28-Июн-22, 17:06 
Последний релиз либра был месяц назад, в Фонд опёнка Гугл, Мета и Майкрософт башляют стабильно, так  что непонятны опасения: https://www.openbsdfoundation.org/contributors.html
Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

58. "Альтернатива"  +1 +/
Сообщение от qweo (?), 05-Июл-22, 07:23 
BearSSL хороша. Минималистична, и устойчива к timing-based атакам.
Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

59. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от nuclightemail (??), 16-Июл-22, 12:15 
Дело за малым - склепать замену для TLS.
Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

13. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –6 +/
Сообщение от Аноним (13), 27-Июн-22, 23:49 
> OpenSSL version 3.0.4, released on June 21th 2022, is susceptible to remote memory corruption which can be triggered trivially by an attacker. BoringSSL, LibreSSL and the OpenSSL 1.1.1 branch are not affected. Furthermore, only x64 systems with AVX512 support are affected. The bug is fixed in the repository but a new release is still pending.

Затронуло 0 человек.

Всем спать.

// b.

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +4 +/
Сообщение от Корец (?), 28-Июн-22, 00:02 
>Всем спать.

Споки.

Ответить | Правка | Наверх | Cообщить модератору

27. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +2 +/
Сообщение от Брат Анон (ok), 28-Июн-22, 07:33 
Ни фига ты не Нео. Спи спокойно, бро.
Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

32. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –1 +/
Сообщение от Ooiiii (?), 28-Июн-22, 08:59 
Ни фига ты не Нео, Карл
Ответить | Правка | Наверх | Cообщить модератору

35. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +2 +/
Сообщение от Аноним (35), 28-Июн-22, 10:56 
Какой же это Карл на аватарку посмотрим это Владимир.  
Ответить | Правка | Наверх | Cообщить модератору

55. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +3 +/
Сообщение от Брат Анон (ok), 29-Июн-22, 09:15 
> Какой же это Карл на аватарку посмотрим это Владимир.

Угу. Вот и выросло поколение, которое не отличает Карла от Владимира Марксовича.

Ответить | Правка | Наверх | Cообщить модератору

22. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –1 +/
Сообщение от Аноним (22), 28-Июн-22, 00:48 
> в момент установки TLS-соединения

TLS/SSL - это гнилой перераздутый изменчивый стандарт, дырень для корпораций и майёра.

Поэтому нужно использовать только базовые функции OpenSSL (хэширование и шифрование), в них пока не находили гадостей.

Ответить | Правка | Наверх | Cообщить модератору

25. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Kuromi (ok), 28-Июн-22, 01:36 
Забавно, только на днях на Форониксе все хвалили AVX512 из-за того что он позволяет парсить JSON  со скоростью гигабайты в секунду и всех в комментах посылали купить проц с AVX512,а  тут рраз и упс...
Проблема конечно не в инструкции, но...
Ответить | Правка | Наверх | Cообщить модератору

33. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (-), 28-Июн-22, 09:24 
но..?
Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (35), 28-Июн-22, 10:55 
но!
Ответить | Правка | Наверх | Cообщить модератору

38. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (38), 28-Июн-22, 13:09 
...но осадочек остался.
Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

44. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Kuromi (ok), 28-Июн-22, 17:00 
> ...но осадочек остался.

Не осадочек, но понимание что разрабы еще не очень умеют с ней нормально работать. Вероятные ништяки нивелируются вот такими невероятными косяками.

Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +3 +/
Сообщение от Аноним (40), 28-Июн-22, 15:35 
> AVX512

Абсолютное ненужно, по крайней мере в ближайшие лет 10.

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

53. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  –1 +/
Сообщение от Аноним (53), 29-Июн-22, 02:37 
Ну раз аноним на опеннете сказал "не нужно", значит и правда не нужно.
Ответить | Правка | Наверх | Cообщить модератору

54. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +1 +/
Сообщение от Аноним (54), 29-Июн-22, 04:14 
Опенсорсное сообщество само по себе очень консервативное и "не нужно" оправдано в 90% случаев.
Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +1 +/
Сообщение от Аноним (45), 28-Июн-22, 17:02 
Т.е., как это вещественные векторы помогают парсить тексториентированне файлы?
Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

52. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от microsoft (?), 28-Июн-22, 21:02 
Тайна покрытая мраком.
Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от USD (?), 28-Июн-22, 11:43 
говорил же григри на своем конале что все новое это баги и уязвимости , кто то просто продолжает начатое изломление в угоду маикам как же он четко все разложил
Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Анонним (?), 28-Июн-22, 19:29 
Насколько новое? Я видел тему от года вроде 2015 почему OpenH264 использует инструкции MMX, а не новые. Нати не могу. Помню так. Ответ мне не нужен. Это призадуматся.
Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Анонним (?), 28-Июн-22, 19:30 
А я не знаю почму они использовали ММX только предположение.
Ответить | Правка | Наверх | Cообщить модератору

57. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."  +/
Сообщение от Аноним (57), 30-Июн-22, 14:36 
Удобная программа для передачи данных пользователя через интернет?
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру