OpenSSL corregge nuovi bug di cui uno ad alta gravità. Aggiornamento ora!

OpenSSL, probabilmente la libreria di crittografia più conosciuta se non la più utilizzata al mondo, ha appena rilasciato diversi aggiornamenti di sicurezza.

Queste patch coprono le due attuali versioni open source che l’organizzazione supporta per tutti, oltre alla “vecchia” serie di versioni 1.0.2, in cui gli aggiornamenti sono disponibili solo per i clienti che pagano per il supporto premium.

• OpenSSL 3.0: la nuova versione sarà la 3.0.8 .
• OpenSSL 1.1.1: la nuova versione sarà 1.1.1t (che alla fine è T-for-Tango).
• OpenSSL 1.0.2: la nuova versione sarà 1.0.2zg (Zulu-Golf).

Il più grave dei bug, è un problema di type confusion tracciato come CVE-2023-0286, e può consentire a un utente malintenzionato di leggere i contenuti della memoria o lanciare exploit denial-of-service.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

I manutentori di OpenSSL hanno assegnato un punteggio di gravità elevato al difetto, ma osservano che è molto probabile che la vulnerabilità riguarda solo le applicazioni che hanno implementato la propria funzionalità per il recupero di CRL su una rete.

Le organizzazioni che utilizzano OpenSSL versioni 3.0, 1.1.1 e 1.0.2 sono invitate ad applicare immediatamente gli aggiornamenti disponibili.

Il progetto open source ha anche documentato sette problemi di gravità moderata che richiedono un’attenzione urgente.

Secondo l’avviso di OpenSSL questi includono:

• Esiste una vulnerabilità del canale laterale basata sulla temporizzazione (CVE-2022-4304) nell’implementazione della decrittografia OpenSSL RSA che potrebbe essere sufficiente per recuperare un testo in chiaro attraverso una rete in un attacco in stile Bleichenbacher. Per riuscire a decrittare i dati, un utente malintenzionato dovrebbe essere in grado di inviare un numero molto elevato di messaggi di prova per la decrittazione. “Un utente malintenzionato che avesse osservato una connessione autentica tra un client e un server potrebbe utilizzare questo difetto per inviare messaggi di prova al server e registrare il tempo impiegato per elaborarli”.
• Un buffer overrun in lettura invece può essere attivato nella verifica del certificato X.509, in particolare nel controllo del vincolo del nome. Il buffer overrun (CVE-2022-4203) potrebbe causare un arresto anomalo che potrebbe portare a un attacco denial of service. “In teoria potrebbe anche comportare la divulgazione di contenuti di memoria privata (come chiavi private o testo in chiaro sensibile) sebbene non siamo a conoscenza di alcun exploit funzionante che porti alla divulgazione di contenuti di memoria al momento del rilascio di questo avviso”, ha affermato il gruppo.

Il gruppo ha anche corretto diversi problemi di danneggiamento della memoria che espongono gli utenti OpenSSL a condizioni di negazione del servizio.

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.