OpenSSL 3.0.0 < 3.0.16 漏洞

medium Nessus 插件 ID 209150

语言：

简介

远程服务受到漏洞影响。

描述

远程主机上安装的 OpenSSL 版本低于 3.0.16。因此，它受到 3.0.16 公告中提及的一个漏洞影响。

- 问题摘要：使用字段多项式具有不受信任的显式值的低级 GF(2^m) 椭圆曲线 API 可导致越界内存读取或写入。影响摘要：越界内存写入可导致应用程序崩溃，甚至可能导致远程代码执行，但是，在我们所知的涉及椭圆曲线加密的所有协议中，要么仅支持指定的曲线，要么如果支持显式曲线参数，则其针对无法表示有问题的输入值的二进制 (GF(2^m)) 曲线指定 X9.62 编码。因此，存在易受攻击的应用程序的可能性很低。特别是，X9.62 编码用于 X.509 证书中的 ECC 密钥，因此处理 X.509 证书的上下文中不会发生有问题的输入。任何有问题的用例必须使用异常曲线编码。受影响的 API 包括：
EC_GROUP_new_curve_GF2m()、EC_GROUP_new_from_params() 和多个支持性 BN_GF2m_*() 函数。
使用异常显式二进制 (GF(2^m)) 曲线参数的应用程序（通过上述 API 或类似 API 可以用零常数项表示无效的域多项式）可能会因外部读取或写入而突然终止数组边界。无法轻易排除执行远程代码的可能性。3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题影响。
(CVE-2024-9143)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。