CVE-2023-6237

Sorun özeti: Aşırı uzun ve geçersiz RSA genel anahtarlarının kontrol edilmesi uzun zaman alabilir. Etki özeti: RSA genel anahtarlarını kontrol etmek için EVP_PKEY_public_check() fonksiyonunu kullanan uygulamalar uzun gecikmeler yaşayabilir. Kontrol edilen anahtarın güvenilmeyen bir kaynaktan elde edildiği durumlarda bu durum Hizmet Reddi'ne (Denial of Service) yol açabilir. RSA genel anahtarları üzerinde EVP_PKEY_public_check() fonksiyonu çağrıldığında, RSA modülünün (n) bileşik olduğunu onaylamak için bir hesaplama yapılır. Geçerli RSA anahtarları için n, iki veya daha fazla büyük asal sayının çarpımıdır ve bu hesaplama hızlıca tamamlanır. Ancak, n aşırı derecede büyük bir asal sayıysa, bu hesaplama uzun zaman alır. EVP_PKEY_public_check() fonksiyonunu çağıran ve güvenilmeyen bir kaynaktan alınan bir RSA anahtarı sağlayan bir uygulama, Hizmet Reddi saldırısına karşı savunmasız olabilir. EVP_PKEY_public_check() fonksiyonu diğer OpenSSL fonksiyonları tarafından çağrılmaz ancak OpenSSL pkey komut satırı uygulaması tarafından çağrılır. Bu nedenle söz konusu uygulama, güvenilmeyen veriler üzerinde '-pubin' ve '-check' seçenekleriyle kullanıldığında o da savunmasızdır. OpenSSL SSL/TLS uygulaması bu sorundan etkilenmemektedir. OpenSSL 3.0 ve 3.1 FIPS sağlayıcıları bu sorundan etkilenmektedir.