CVE-2024-37305
Təsvir
oqs-provider, liboqs kitabxanasının post-kvant alqoritmlərindən istifadə edərək TLS, X.509 və S/MIME-də post-kvant kriptoqrafiyasına dəstək əlavə edən OpenSSL 3 kriptoqrafiya kitabxanası üçün provayderdir. Seriyallaşdırılmış hibrid (ənənəvi + post-kvant) açarların və imzaların əvvəlində DECODE_UINT32 ilə dekodlaşdırılan uzunluqların oqs-provider tərəfindən idarə edilməsi qaydasında çatışmazlıqlar aşkar edilmişdir. Yoxlanılmamış uzunluq dəyərləri sonradan yaddaş oxuma və yazma əməliyyatları üçün istifadə olunur; yanlış formatlanmış giriş məlumatları sistemin çökməsinə və ya məlumat sızmasına səbəb ola bilər. Sadə/qeyri-hibrid PQ açar əməliyyatlarının idarə edilməsi buna təsir etmir. Bu problem v0.6.1 versiyasında aradan qaldırılıb. Bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu problem üçün heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| open-quantum-safe oqs-provider | < 0.6.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.