CVE-2024-13176
Təsvir
Problemin xülasəsi: ECDSA imza hesablamalarında gizli açarın bərpasını potensial olaraq mümkün edə bilən zamanlama yan kanalı (timing side-channel) mövcuddur. Təsirin xülasəsi: ECDSA imza hesablamalarındakı zamanlama yan kanalı hücumçuya gizli açarı bərpa etməyə imkan verə bilər. Lakin zamanlamanın ölçülməsi üçün ya imzalama tətbiqinə lokal giriş, ya da aşağı gecikməyə malik çox sürətli şəbəkə bağlantısı tələb olunur. İnvertlənmiş ECDSA nonce dəyərinin yuxarı sözü sıfır olduqda təxminən 300 nanosaniyəlik zamanlama siqnalı yaranır. Bu, yalnız dəstəklənən bəzi elliptik əyrilər üçün əhəmiyyətli ehtimalla baş verə bilər. Xüsusilə NIST P-521 əyri bundan təsirlənir. Bu sızmanı ölçə bilmək üçün hücumçunun prosesi ya eyni fiziki kompüterdə yerləşməli, ya da aşağı gecikməyə malik çox sürətli şəbəkə bağlantısına sahib olmalıdır. Bu səbəbdən bu zəifliyin dərəcəsi Aşağıdır. 3.4, 3.3, 3.2, 3.1 və 3.0 versiyalarındakı FIPS modulları bu problemdən təsirlənir.
Necə düzəltmək olar
- OpenSSL OpenSSL3.4.1, 3.3.3, 3.2.4, 3.1.8, 3.0.16, 1.1.1zb, 1.0.2zl və ya daha yeni versiya
- github.com/openssl/openssl/commit/77c608f4c8857e63e98e66444e2e761c9627916f
- github.com/openssl/openssl/commit/392dcb336405a0c94486aa6655057f59fd3a0902
- github.com/openssl/openssl/commit/4b1cb94a734a7d4ec363ac0a215a25c181e11f65
- github.com/openssl/openssl/commit/2af62e74fb59bc469506bc37eb2990ea408d9467
- github.com/openssl/openssl/commit/07272b05b04836a762b4baa874958af51d513844
- github.openssl.org/openssl/extended-releases/commit/a2639000db19878d5d89586ae7b725080592ae86
- github.openssl.org/openssl/extended-releases/commit/0d5fd1ab987f7571e2c955d8d8b638fc0fb54ded
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenSSL OpenSSL | 3.4.0 ≤ v < 3.4.1, 3.3.0 ≤ v < 3.3.3, 3.2.0 ≤ v < 3.2.4, 3.1.0 ≤ v < 3.1.8, 3.0.0 ≤ v < 3.0.16, 1.1.1 ≤ v < 1.1.1zb, 1.0.2 ≤ v < 1.0.2zl | 3.4.1, 3.3.3, 3.2.4, 3.1.8, 3.0.16, 1.1.1zb, 1.0.2zl |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.