CVE-2022-3786
Desbordamiento de búfer de longitud variable en la dirección de correo electrónico X.509
- Publicado
- 1 nov 2022
- Actualizado
- 14 abr 2026
- Asignación de CNA
- openssl
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAlto · próximos 30 días
- Percentil
- 99,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Puede activarse una saturación del búfer en la verificación del certificado X.509, específicamente en la verificación de restricciones del nombre. Tenga en cuenta que esto ocurre después de la verificación de la firma de la cadena de certificados y requiere que una CA haya firmado un certificado malicioso o que la aplicación continúe con la verificación del certificado a pesar de no poder construir una ruta hacia un emisor confiable. Un atacante puede crear una dirección de correo electrónico maliciosa en un certificado para desbordar una cantidad arbitraria de bytes que contengan el carácter "." (decimal 46) en la pila de memoria. Este desbordamiento del búfer podría provocar un bloqueo (provocando una denegación de servicio). En un cliente TLS, esto se puede desencadenar conectándose a un servidor malicioso. En un servidor TLS, esto puede activarse si el servidor solicita la autenticación del cliente y se conecta un cliente malicioso.
Fuentes
4Escáner basado en Python que detecta servidores OpenSSL 3.0.0-3.0.6 vulnerables a CVE-2022-3602 y CVE-2022-3786, verificando los requisitos de autenticación del cliente en uno o varios objetivos.
- OpenSSL-2022Informativo
Información operativa sobre CVE-2022-3602 y CVE-2022-3786, dos vulnerabilidades en OpenSSL 3
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.