CVE-2024-37305
Açıklama
oqs-provider, liboqs'den gelen kuantum sonrası algoritmaları kullanarak TLS, X.509 ve S/MIME'da kuantum sonrası kriptografi desteği ekleyen OpenSSL 3 kriptografi kütüphanesi için bir sağlayıcıdır. oqs-provider'ın, serileştirilmiş hibrit (geleneksel + kuantum sonrası) anahtarların ve imzaların başlangıcında DECODE_UINT32 ile çözülen uzunlukları işleme yönteminde kusurlar tespit edilmiştir. Kontrol edilmeyen uzunluk değerleri daha sonra bellek okuma ve yazma işlemleri için kullanılır; hatalı girişler çökmelere veya bilgi sızıntısına yol açabilir. Düz/hibrit olmayan PQ anahtar işlemi yönetimi bu durumdan etkilenmemektedir. Bu sorun v0.6.1 sürümünde yamalanmıştır. Tüm kullanıcıların yükseltme yapmaları önerilir. Bu sorun için herhangi bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| open-quantum-safe oqs-provider | < 0.6.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.