CVE-2024-0727

Sorun özeti: Kötü niyetle biçimlendirilmiş bir PKCS12 dosyasının işlenmesi, OpenSSL'in çökmesine yol açarak potansiyel bir Hizmet Reddi (Denial of Service) saldırısına neden olabilir. Etki özeti: Güvenilmeyen kaynaklardan PKCS12 formatındaki dosyaları yükleyen uygulamalar beklenmedik şekilde sonlanabilir. PKCS12 formatındaki bir dosya sertifikalar ve anahtarlar içerebilir ve güvenilmeyen bir kaynaktan gelebilir. PKCS12 spesifikasyonu belirli alanların NULL olmasına izin verir ancak OpenSSL bu durumu doğru şekilde kontrol etmez. Bu durum, OpenSSL'in çökmesiyle sonuçlanan bir NULL pointer dereference hatasına yol açabilir. Eğer bir uygulama, OpenSSL API'lerini kullanarak güvenilmeyen bir kaynaktan gelen PKCS12 dosyalarını işliyorsa, söz konusu uygulama bu soruna karşı savunmasız olacaktır. Buna karşı savunmasız olan OpenSSL API'leri şunlardır: PKCS12_parse(), PKCS12_unpack_p7data(), PKCS12_unpack_p7encdata(), PKCS12_unpack_authsafes() ve PKCS12_newpass(). Benzer bir sorun SMIME_write_PKCS7() fonksiyonunda da düzeltilmiştir. Ancak bu fonksiyon veri yazma ile ilgili olduğundan, güvenlik açısından önemli olduğu düşünülmemektedir. 3.2, 3.1 ve 3.0 sürümlerindeki FIPS modülleri bu sorundan etkilenmemiştir.