【低危】OpenSSL 拒绝服务漏洞

墨菲安全

已于 2024-01-17 17:25:49 修改

阅读量1.4k

点赞数 22

文章标签：漏洞网络安全

于 2024-01-17 17:22:38 首次发布

本文链接：https://blog.csdn.net/murphysec/article/details/135655837

版权

漏洞描述

OpenSSL 是广泛使用的开源加密库。在 OpenSSL 3.0.0 到 3.0.12, 3.1.0 到 3.1.4 和 3.2.0 中，使用函数 EVP_PKEY_public_check() 来检查 RSA 公钥的应用程序可能会遇到长时间延迟。如果检查的密钥是从不可信任的来源获取的，这可能会导致拒绝服务。

其他 OpenSSL 函数不会调用 EVP_PKEY_public_check()函数，但会在 OpenSSL pkey 命令行应用程序中调用。如果使用 "-pubin " 和 "-check " 选项时，该应用程序也会受到攻击。

OpenSSL SSL/TLS 实现不受此问题影响。

此问题影响OpenSSL 3.0和3.1的FIPS提供商。