CVE-2022-3358

OpenSSL, eski EVP_CIPHER_meth_new() fonksiyonu ve ilgili fonksiyon çağrıları aracılığıyla özel bir şifreleme algoritması oluşturulmasını desteklemektedir. Bu fonksiyon OpenSSL 3.0 sürümünde kullanımdan kaldırılmıştır ve uygulama yazarlarının bunun yerine özel şifreleme algoritmalarını uygulamak için yeni sağlayıcı (provider) mekanizmasını kullanmaları önerilmektedir. OpenSSL 3.0.0 ile 3.0.5 arasındaki sürümler; EVP_EncryptInit_ex2(), EVP_DecryptInit_ex2() ve EVP_CipherInit_ex2() fonksiyonlarına (ve benzer isimli diğer şifreleme ve şifre çözme başlatma fonksiyonlarına) aktarılan eski özel şifreleme algoritmalarını hatalı şekilde işlemektedir. Özel şifreleme algoritmasını doğrudan kullanmak yerine, mevcut sağlayıcılardan eşdeğer bir şifreleme algoritmasını getirmeye çalışmaktadır. Eşdeğer şifreleme algoritması, EVP_CIPHER_meth_new() fonksiyonuna aktarılan NID değerine göre bulunur. Bu NID'nin, belirli bir şifreleme algoritması için benzersiz NID'yi temsil etmesi gerekir. Ancak, bir uygulamanın EVP_CIPHER_meth_new() çağrısında bu değer olarak yanlışlıkla NID_undef aktarması mümkündür. NID_undef bu şekilde kullanıldığında, OpenSSL şifreleme/şifre çözme başlatma fonksiyonu, NULL şifrelemesini eşdeğer olarak eşleştirecek ve bunu mevcut sağlayıcılardan getirecektir. Varsayılan sağlayıcı yüklendiyse (veya bu şifrelemeyi sunan üçüncü taraf bir sağlayıcı yüklendiyse) işlem başarılı olacaktır. NULL şifrelemesinin kullanılması, düz metnin şifreli metin olarak yayınlanması anlamına gelir. Uygulamalar, yalnızca NID_undef kullanarak EVP_CIPHER_meth_new() fonksiyonunu çağırdıklarında ve ardından bunu bir şifreleme/şifre çözme başlatma fonksiyonu çağrısında kullandıklarında bu sorundan etkilenirler. Sadece SSL/TLS kullanan uygulamalar bu durumdan etkilenmez. OpenSSL 3.0.6 sürümünde düzeltilmiştir (Etkilenen sürümler: 3.0.0-3.0.5).