CVE-2023-2975
Açıklama
Sorun özeti: AES-SIV şifreleme uygulaması, boş ilişkili veri girişlerini görmezden gelmesine neden olan bir hata içermektedir ve bunun sonucunda bu girişler kimlik doğrulamasına tabi tutulmamaktadır. Etki özeti: AES-SIV algoritmasını kullanan ve boş veri girişlerini ilişkili veri olarak kimlik doğrulamak isteyen uygulamalar; OpenSSL uygulaması tarafından görmezden gelindiği için bu tür boş girişlerin kaldırılması, eklenmesi veya yeniden sıralanmasıyla yanıltılabilir. Şu anda bu şekilde çalışan herhangi bir uygulama bilgimiz bulunmamaktadır. AES-SIV algoritması, şifreleme ile birlikte birden fazla ilişkili veri girişinin kimlik doğrulamasını destekler. Boş verilerin kimlik doğrulamasını yapmak için uygulamanın, çıktı tamponu olarak NULL işaretçisi ve girdi tamponu uzunluğu olarak 0 ile EVP_EncryptUpdate() (veya EVP_CipherUpdate()) fonksiyonunu çağırması gerekir. OpenSSL'deki AES-SIV uygulaması, ilişkili veri kimlik doğrulama işlemini gerçekleştirmek yerine böyle bir çağrı için yalnızca başarı döndürür. Bu nedenle boş veriler kimlik doğrulanmayacaktır. Bu sorun boş olmayan ilişkili veri kimlik doğrulamasını etkilemediğinden ve bir uygulamanın boş ilişkili veri girişleri kullanmasının nadir olacağı beklendiğinden, bu durum Düşük önem dereceli bir sorun olarak sınıflandırılmıştır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openssl openssl | 3.0.0 ≤ v ≤ 3.0.9, 3.1.0 ≤ v ≤ 3.1.1 | — |
| netapp management_services_for_element_software_and_netapp_hci | Aralık belirtilmemiş | — |
| netapp ontap_select_deploy_administration_utility | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.