CVE-2023-3446

Problemin xülasəsi: Həddindən artıq uzun DH açarlarının və ya parametrlərinin yoxlanılması çox yavaş ola bilər. Təsirin xülasəsi: DH açarını və ya DH parametrlərini yoxlamaq üçün DH_check(), DH_check_ex() və ya EVP_PKEY_param_check() funksiyalarından istifadə edən tətbiqlərdə uzun gecikmələr baş verə bilər. Yoxlanılan açarın və ya parametrlərin etibarsız mənbədən əldə edildiyi hallarda bu, Xidmətdən imtina (DoS) hücumuna səbəb ola bilər. DH_check() funksiyası DH parametrləri üzərində müxtəlif yoxlamalar həyata keçirir. Bu yoxlamalardan biri modulun ('p' parametri) həddindən artıq böyük olmadığını təsdiqləyir. Çox böyük moduldan istifadə cəhdləri yavaşdır və OpenSSL normalda uzunluğu 10,000 bitdən çox olan modulu istifadə etmir. Lakin DH_check() funksiyası təqdim edilmiş açarın və ya parametrlərin çox sayda aspektini yoxlayır. Bəzi yoxlamalar, təqdim edilən modul dəyərinin artıq həddindən artıq böyük olduğu müəyyən edilsə belə, həmin dəyərdən istifadə edir. DH_check() funksiyasını çağıran və etibarsız mənbədən əldə edilmiş açarı və ya parametrləri təqdim edən tətbiq Xidmətdən imtina hücumuna qarşı həssas ola bilər. DH_check() funksiyasının özü bir sıra digər OpenSSL funksiyaları tərəfindən çağırılır. Bu digər funksiyalardan hər hansı birini çağıran tətbiq də eyni şəkildə təsirlənə bilər. Buna təsir edən digər funksiyalar DH_check_ex() və EVP_PKEY_param_check() funksiyalarıdır. Həmçinin, '-check' seçimindən istifadə etdikdə OpenSSL dhparam və pkeyparam komanda sətri tətbiqləri də həssasdır. OpenSSL SSL/TLS implementasiyası bu problemdən təsirlənmir. OpenSSL 3.0 və 3.1 FIPS provayderləri bu problemdən təsirlənmir.