CVE-2022-3602

概要

X.509証明書検証、具体的には名前制約チェックにおいて、バッファオーバーランが引き起こされる可能性があります。これは証明書チェーン署名検証の後に発生し、悪意のある証明書にCAが署名しているか、信頼できる発行者へのパスの構築に失敗したにもかかわらずアプリケーションが証明書検証を継続するかのいずれかが必要であることに注意してください。攻撃者は悪意のあるメールアドレスを細工して、スタック上の攻撃者が制御する4バイトをオーバーフローさせることができます。このバッファオーバーフローは、クラッシュ（サービス拒否を引き起こす）または潜在的なリモートコード実行につながる可能性があります。多くのプラットフォームはスタックオーバーフロー保護を実装しており、これによりリモートコード実行のリスクが緩和されます。特定のプラットフォーム/コンパイラのスタックレイアウトに基づいて、リスクはさらに緩和される可能性があります。CVE-2022-3602の事前告知では、この問題はCRITICAL（重大）と説明されていました。上記の緩和要因の一部に基づくさらなる分析により、これはHIGH（高）に引き下げられました。ユーザーにはできるだけ早く新しいバージョンへのアップグレードが引き続き推奨されています。TLSクライアントでは、悪意のあるサーバーに接続することでこの問題が引き起こされる可能性があります。TLSサーバーでは、サーバーがクライアント認証を要求し、悪意のあるクライアントが接続した場合にこの問題が引き起こされる可能性があります。OpenSSL 3.0.7で修正されました（影響を受けるバージョン: 3.0.0,3.0.1,3.0.2,3.0.3,3.0.4,3.0.5,3.0.6）。

• CVE-2022-3602研究

  CVE-2022-3602（OpenSSL 3.0.x における punycode のバッファオーバーフロー）の技術的な詳細解説とアンチPOC。再現スクリプト、スタック解析、コンパイラによる軽減策の評価を含みます。

• CVE-2022-3602検出

  Zeekパッケージは、HTTP ServerヘッダーとTLS punycodeの異常を介してCVE-2022-3602の悪用試行と脆弱なOpenSSLサーバーを検出し、インシデント対応のための実用的な通知を生成します。

• CVE-2022-3602-and-CVE-2022-3786