CVE-2022-3602

X.509 sertifika doğrulamasında, özellikle isim kısıtlaması kontrolünde bir arabellek taşması tetiklenebilir. Bunun, sertifika zinciri imza doğrulamasından sonra gerçekleştiğine ve ya bir CA'nın kötü amaçlı sertifikayı imzalamış olmasına ya da uygulamanın güvenilir bir yayıncıya giden yol oluşturulamamasına rağmen sertifika doğrulamasına devam etmesine ihtiyaç duyulduğuna dikkat edilmelidir. Bir saldırgan, yığındaki saldırgan kontrollü dört baytı taşırmak için kötü amaçlı bir e-posta adresi hazırlayabilir. Bu arabellek taşması, bir çökmeye (hizmet reddine neden olur) veya potansiyel olarak uzaktan kod çalıştırmaya yol açabilir. Birçok platform, uzaktan kod çalıştırma riskini azaltacak yığın taşması korumaları uygulamaktadır. Risk, herhangi bir platform/derleyici için yığın düzenine bağlı olarak daha da azalabilir. CVE-2022-3602'nin ön duyuruları bu sorunu KRİTİK olarak tanımlamıştır. Yukarıda açıklanan bazı hafifletici faktörlere dayalı daha ileri analizler, bunun YÜKSEK seviyesine düşürülmesini sağlamıştır. Kullanıcıların hala mümkün olan en kısa sürede yeni bir sürüme yükseltmeleri önerilmektedir. Bir TLS istemcisinde bu durum, kötü amaçlı bir sunucuya bağlanarak tetiklenebilir. Bir TLS sunucusunda ise, sunucunun istemci kimlik doğrulaması talep etmesi ve kötü amaçlı bir istemcinin bağlanması durumunda tetiklenebilir. OpenSSL 3.0.7 sürümünde düzeltilmiştir (Etkilenenler: 3.0.0, 3.0.1, 3.0.2, 3.0.3, 3.0.4, 3.0.5, 3.0.6).