CVE-2024-4603

Sorun özeti: Aşırı uzun DSA anahtarlarının veya parametrelerinin kontrol edilmesi çok yavaş olabilir. Etki özeti: Bir DSA genel anahtarını veya DSA parametrelerini kontrol etmek için EVP_PKEY_param_check() veya EVP_PKEY_public_check() fonksiyonlarını kullanan uygulamalar uzun gecikmeler yaşayabilir. Kontrol edilen anahtarın veya parametrelerin güvenilmeyen bir kaynaktan elde edildiği durumlarda bu durum Hizmet Reddi'ne (Denial of Service) yol açabilir. EVP_PKEY_param_check() veya EVP_PKEY_public_check() fonksiyonları, DSA parametreleri üzerinde çeşitli kontroller gerçekleştirir. Modül (`p` parametresi) çok büyükse, bu hesaplamaların bazıları uzun zaman alır. Çok büyük bir modül kullanmaya çalışmak yavaştır ve OpenSSL, imza doğrulaması için uzunluğu 10.000 bitin üzerindeki bir modüle sahip genel anahtarların kullanılmasına izin vermez. Ancak, anahtar ve parametre kontrol fonksiyonları, kontrolleri gerçekleştirirken modül boyutunu sınırlamaz. EVP_PKEY_param_check() veya EVP_PKEY_public_check() fonksiyonlarını çağıran ve güvenilmeyen bir kaynaktan elde edilmiş bir anahtar veya parametre sağlayan bir uygulama, Hizmet Reddi saldırısına karşı savunmasız olabilir. Bu fonksiyonlar, OpenSSL tarafından güvenilmeyen DSA anahtarları üzerinde çağrılmaz; dolayısıyla yalnızca bu fonksiyonları doğrudan çağıran uygulamalar savunmasız olabilir. Ayrıca, `-check` seçeneğini kullandıklarında OpenSSL pkey ve pkeyparam komut satırı uygulamaları da savunmasızdır. OpenSSL SSL/TLS uygulaması bu sorundan etkilenmemektedir. OpenSSL 3.0 ve 3.1 FIPS sağlayıcıları bu sorundan etkilenmektedir.