CVE-2022-3602
Estouro de buffer de 4 bytes no endereço de e-mail X.509
- Publicado
- 1 de nov. de 2022
- Atualizado
- 14 de abr. de 2026
- Atribuindo CNA
- openssl
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAlto · próximos 30 dias
- Percentil
- 99,8%
- Data do modelo
- 13 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Um estouro de buffer pode ser acionado na verificação de certificados X.509, especificamente na verificação de restrições de nome. Observe que isso ocorre após a verificação de assinatura da cadeia de certificados e requer que uma CA tenha assinado o certificado malicioso ou que o aplicativo continue a verificação do certificado apesar da falha em construir um caminho para um emissor confiável. Um atacante pode criar um endereço de e-mail malicioso para estourar quatro bytes controlados pelo atacante na pilha. Esse estouro de buffer pode resultar em uma falha (causando negação de serviço) ou potencialmente execução remota de código. Muitas plataformas implementam proteções contra estouro de pilha que mitigariam o risco de execução remota de código. O risco pode ser ainda mais mitigado com base no layout da pilha de cada plataforma/compilador. Os pré-anúncios de CVE-2022-3602 descreveram esse problema como CRÍTICO. Análises adicionais baseadas em alguns dos fatores atenuantes descritos acima levaram a uma redução para ALTO. Ainda assim, os usuários são incentivados a atualizar para uma nova versão o mais rápido possível. Em um cliente TLS, isso pode ser acionado ao conectar a um servidor malicioso. Em um servidor TLS, isso pode ser acionado se o servidor solicitar autenticação do cliente e um cliente malicioso se conectar. Corrigido no OpenSSL 3.0.7 (afetados 3.0.0,3.0.1,3.0.2,3.0.3,3.0.4,3.0.5,3.0.6).
Fontes
- CVE-2022-3602Pesquisa
Análise técnica aprofundada e anti-POC para CVE-2022-3602, um estouro de buffer em punycode no OpenSSL 3.0.x, com scripts de reprodução, análise de pilha e avaliação de mitigação do compilador.
- CVE-2022-3602Detecção
Pacote Zeek que detecta tentativas de exploração da CVE-2022-3602 e servidores OpenSSL vulneráveis por meio do cabeçalho HTTP Server e anomalias de punycode em TLS, gerando notificações acionáveis para resposta a incidentes.
Scanner baseado em Python que detecta servidores OpenSSL 3.0.0-3.0.6 vulneráveis ao CVE-2022-3602 e CVE-2022-3786, verificando os requisitos de autenticação do cliente em alvos únicos ou múltiplos.
Exploit de prova de conceito para CVE-2022-3602, uma vulnerabilidade de negação de serviço por estouro de buffer no OpenSSL 3.0 anterior à versão 3.0.7. Inclui código fonte em C e instruções de compilação.
- spookyssl-pcapsDetecção
PCAPs e assinaturas Suricata para detetar tentativas de exploração do OpenSSL CVE-2022-3602, incluindo tráfego malicioso de cliente/servidor e exemplos legítimos de certificados punycode.
- OpenSSL-2022Informativo
Informações operacionais sobre CVE-2022-3602 e CVE-2022-3786, duas vulnerabilidades no OpenSSL 3
Exploit de prova de conceito para as vulnerabilidades de estouro de buffer no OpenSSL CVE-2022-3602 e CVE-2022-3786, demonstrando execução remota de código por meio de certificados X.509 manipulados.
cve-2022-3602 poc
Código de prova de conceito para exploits referenciados pelo Datadog Security Labs.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.