CVE-2026-63073

Problemin xülasəsi: OpenSSL CMP cavabının təsdiqlənməsi zamanı gözlənilməz cavab göndərənin fərqləndirici adı (distinguished name) birbaşa format sətiri kimi `ERR_raise_data()` funksiyasına ötürülmüşdür. Təsirin xülasəsi: Zərərli və ya ələ keçirilmiş CMP son nöqtəsi, gözlənilən göndərəni tətbiq edən və ya mövzusu standart gözlənilən göndərən olan sabitləşdirilmiş (pinned) server sertifikatından istifadə edən CMP klientini sıradan çıxara bilər. CWE: CWE-134 (Xaricdən İdarə Olunan Format Sətirinin İstifadəsi) Təsvir: Alınmış CMP mesajını təsdiqləyərkən, `ossl_cmp_msg_check_update()` funksiyası qarşı tərəf tərəfindən təqdim edilən göndərənin fərqləndirici adını `X509_NAME_oneline()` ilə çevirir və onu birbaşa format arqumenti kimi `ERR_raise_data()` funksiyasına ötürür. Faiz (%) simvolları çevrilmə prosesindən sonra qalır, buna görə də "CN=%s%n" kimi göndərən DN-i uyğun variadik arqumentlər olmadan hücumçunun idarə etdiyi format sətiri şəklində `BIO_vsnprintf()` funksiyasına çatır. Bu yola yalnız çağırıcı gözlənilən göndərəni konfiqurasiya etdikdə və ya server sertifikatını sabitləşdirdikdə çatılır ki, bu da server cavablarını təsdiqləyən CMP klienti üçün normal konfiqurasiyadır. Hücumçu format sətirini idarə etdiyi, lakin variadik arqumentlərin heç birini idarə etmədiyi üçün `%s` və `%n` kimi spesifikatorlar əlaqəsiz stek məzmununa müraciət edir və ya ora yazı yazaraq klienti sıradan çıxarır. Cavab zərərli və ya ələ keçirilmiş CMP son nöqtəsindən gəldikdə, bunun etibarlı nəticəsi xidmətdən imtinadır. İdarə olunan yaddaş yazısı, ixtiyari ünvan oxuması və ya uzaqdan kodun icrasına aparan etibarlı yol mövcud deyil. FIPS təsiri: yoxdur Bu problem heç bir FIPS moduluna təsir etmir, çünki CMP protokolunun tətbiqi OpenSSL FIPS modulunun sərhədlərindən kənardadır.