OpenSSL v3.x sårbarhet

HVA:

Biblioteket Open SSL v3.x [1] som blir brukt for å håndtere kryptering og til å sikre kommunikasjon må oppdateres til minimum v3.0.7 for å lukke en Kritisk sårbarhet.

REFERANSER:

OpenSSL teamet publiserte 25. oktober et forvarsel [2] om at versjon 3.0.7 vil bli publisert tidlig morgen (Eastern Time) tirsdag 1. november 2022.

I dag 1. november har de lagt ut informasjon om CVE-2022-3786 [9] og CVE-2022-3602 [10], begge sårbarhetene er vurdert som High / Viktig - altså er de nedgradert fra Critical / Kritisk som ble varslet på forhånd!

NÅR:

Versjonene som kan misbrukes er alle 3.x versjoner fra v3.0.0 (sept 2021) til og med v3.0.6 (oktober 2022). [3]

Ny versjon 3.0.7 ble gjort tilgjengelig 1. november 2022 [4], se informasjon om oppdatering som er publisert  [8].  

HVOR:

Slike bibliotek blir tatt inn i mange verktøy, både open source og proprietære. Slik inkludering bør og skal være deklarert som del av lisens og / eller produktdokumentasjon men biblioteket vil typisk ikke være del av software inventory og vil ofte ikke bli oppdatert før løsningen biblioteket er brukt i publiserer ny versjon. 

På grunn av dette blir en nødt til å gjøre en manuell kartlegging av hvor biblioteket kan være brukt i miljøet. Husk at det kan være en del av alt fra lokalt installert programvare / Private Cloud løsning til Public Cloud og SaaS tjenester.

Selv om en har kartlagt hvor slike bibliotek har vært brukt tidligere må en være forberedt på at andre applikasjoner / tjenester / komponenter kan være berørt denne gang.

Merk at 

• NCSC-NL har sammen med en gruppe frivillige  en oversikt de oppdaterer kontinuerlig, den peker blant annet på at mange Linux distribusjoner er berørt og må oppdateres. [5]
• mange produkt vil ikke være berørt fordi de enda ikke har oppdatert til v3.x.
• en oppdatering til v1.1.1 kom samtidig med v3.0.7, men denne skal ikke inneholde en sikkerhetsoppdatering

HVA KAN SKJE:

Oppdatert: Nå som vi har fått publiseringen fra OpenSSL teamet [6] ser vi at kritikalitet er endret fra Critical til High, dette da det antas å være vanskelig å utnytte sårbarheten.

De to identifiserte sårbarhetene går ut på at OpenSSL kan bli påvirket (buffer overflow) av et sertifikat som er konfigurert med ekstra tegn i ett av feltene.

Merk også at det potensielt farlige innholdet i sertifikatet kun blir behandlet dersom 

1. sertifikatet er signert av en offisiell sertifikatutsteder
   eller
2. dersom sjekk av sertifikatkjeden ikke blir utført av klient / server 

SANNSYNLIGHET 

Oppdatert:  Vi visste fra før at mange tjenester og programvarepakker ikke er berørt da de fortsatt ikke har tatt i bruk v3.x av OpenSSL.  Muligheten for å presentere et modifisert sertifikat til klienter er mindre sannsynlig da f.eks. Windows klienter og servere ikke bruker OpenSSL biblioteket. Og servere er kun sårbare dersom de ber om klientsertifikat.

Det fremstår derfor som lite sannsynlig at denne sårbarheten krever annen behandling enn nevnt under, at en følger med på oppdateringer fra leverandører og installerer disse som del av vanlig oppdateringsrutine.

HVA BØR DU GJØRE:

NB: Merk at de som abonnerer på kritisk varsling fra oss ikke vil få nye varsling på e-post når vi oppdaterer vurderingene - sjekk innom siden regelmessig utover kvelden og utover i uken.

Netsecurity's anbefaling er å jobbe med å identifisere omfang / potensiale. Se også råd fra Nasjonal Sikkerhetsmyndighet (NSM) [7] som vil bli oppdatert.